PT-2022-24098 · Red Hat · Keycloak

Publicado 2022-12-13 · Atualizado 2023-01-25 · CVE-2022-3782

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Keycloak (versões afetadas não especificadas)

Descrição

Foi identificada uma falha no Keycloak, na qual o software não valida adequadamente as URLs incluídas em um redirecionamento. Um invasor pode usar essa falha para criar uma solicitação maliciosa com o objetivo de contornar a validação e acessar outras URLs e informações potencialmente confidenciais dentro do domínio, ou possivelmente realizar outros ataques. Esse problema afeta qualquer cliente que utilize um curinga no campo Valid Redirect URIs.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-177

CWE-22

Identificadores relacionados

CVE-2022-3782

GHSA-G8Q8-FGGX-9R3Q

RHSA-2022:8961

RHSA-2022:8962

RHSA-2022:8963

Produtos afetados

Keycloak

Referências · 9

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/pull/15982/commits/1987c942f527b9f3bbf2a86ba71ba8ae0154ac37 · Nota
• https://github.com/keycloak/keycloak/security/advisories/GHSA-g8q8-fggx-9r3q · Nota
• https://t.me/cvenotify/41920 · Publicação no Telegram
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3782 · Nota
• https://access.redhat.com/security/cve/CVE-2022-3782 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-3782 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-3782 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g8q8-fggx-9r3q · Aviso do Fabricante