PT-2022-10737 · Red Hat · Keycloak

Paramvir Jindal · Publicado 2022-08-26 · Atualizado 2023-07-10 · CVE-2021-3856

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Não há menção a nenhum software ou versão específica nas descrições fornecidas.

Descrição

O problema diz respeito ao ClassLoaderTheme e ao ClasspathThemeResourceProviderFactory, que permitem a leitura de qualquer arquivo disponível como recurso para o carregador de classes. Ao enviar solicitações de recursos de tema com um caminho relativo a partir de um cliente HTTP externo, o cliente receberá o conteúdo de arquivos aleatórios, caso estejam disponíveis.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Files Accessible to External Parties

Path traversal

Enumeração de Fraquezas

CWE-552

CWE-22

Identificadores relacionados

CVE-2021-3856

GHSA-3W4V-RVC4-2XPW

Produtos afetados

Keycloak

Referências · 10

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/pull/8588 · Correção
• https://github.com/keycloak/keycloak/commit/73f0474008e1bebd0733e62a22aceda9e5de6743 · Correção
• https://t.me/cibsecurity/48901 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3w4v-rvc4-2xpw · Aviso do Fabricante
• https://issues.redhat.com/browse/KEYCLOAK-19422 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2021-3856 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-3856 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-3856 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2010164 · Aviso do Fabricante