PT-2022-10737 · Red Hat · Keycloak

Paramvir Jindal · CVE-2021-3856 · Publicado 2022-08-26 · Atualizado 2023-07-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Não há menção a nenhum software ou versão específica nas descrições fornecidas.

Descrição

O problema diz respeito ao ClassLoaderTheme e ao ClasspathThemeResourceProviderFactory, que permitem a leitura de qualquer arquivo disponível como recurso para o carregador de classes. Ao enviar solicitações de recursos de tema com um caminho relativo a partir de um cliente HTTP externo, o cliente receberá o conteúdo de arquivos aleatórios, caso estejam disponíveis.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Path traversal

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-22

CWE-552

Identificadores relacionados

CVE-2021-3856

GHSA-3W4V-RVC4-2XPW

Produtos afetados

Keycloak

Referências · 10

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/pull/8588 · Correção
• https://github.com/keycloak/keycloak/commit/73f0474008e1bebd0733e62a22aceda9e5de6743 · Correção
• https://access.redhat.com/security/cve/CVE-2021-3856 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-3856 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2010164 · Aviso do Fabricante
• https://issues.redhat.com/browse/KEYCLOAK-19422 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3w4v-rvc4-2xpw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-3856 · Nota de Segurança
• https://t.me/cibsecurity/48901 · Publicação no Telegram