PT-2021-13833 · Red Hat · Keycloak

Amit Laish + 1 · Publicado 2021-05-28 · Atualizado 2022-08-05 · CVE-2021-20195

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

versões do Keycloak anteriores à 13.0.0

Descrição:

Uma falha no Keycloak permite um vetor de ataque XSS auto-armazenado, que pode evoluir para uma apropriação total da conta. Isso ocorre porque os campos de dados fornecidos pelo usuário não são codificados adequadamente e devido ao uso de código JavaScript para processar os dados. A maior ameaça decorrente desse problema é à confidencialidade e integridade dos dados, bem como à disponibilidade do sistema.

Recomendações:

Para versões anteriores à 13.0.0, atualize para a versão 13.0.0 ou posterior para resolver o problema. Como solução temporária, considere desativar o uso de campos de dados fornecidos pelo usuário no código JavaScript até que um patch esteja disponível. Restrinja o acesso a dados e funções confidenciais para minimizar o risco de exploração.

Correção

XSS

Improper Encoding or Escaping of Output

RCE

Enumeração de Fraquezas

CWE-79

CWE-116

CWE-20

Identificadores relacionados

CVE-2021-20195

GHSA-Q6W2-89HQ-HQ27

Produtos afetados

Keycloak

Referências · 6

• https://github.com/keycloak/keycloak/commit/717d9515fa131e3d8c8936e41b2e52270fdec976 · Nota
• https://osv.dev/vulnerability/CVE-2021-20195 · Aviso do Fabricante
• https://t.me/cvenotify/15409 · Publicação no Telegram
• https://bugzilla.redhat.com/show_bug.cgi?id=1919143 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-20195 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-q6w2-89hq-hq27 · Aviso do Fabricante