PT-2024-11925 · Red Hat · Keycloak

Chess Hazlett · Publicado 2024-04-17 · Atualizado 2024-11-18 · CVE-2023-0657

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.4

Baixa

Vetor base

AV:A/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Keycloak (versões afetadas não especificadas)

Descrição

Foi identificada uma falha no Keycloak devido à aplicação incorreta dos tipos de token durante a validação de assinaturas localmente. Isso poderia permitir que um invasor autenticado trocasse um token de logout por um token de acesso e, possivelmente, obtivesse acesso a dados fora das permissões definidas.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Access Control

Improper Authentication

Authentication Bypass by Spoofing

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-284

CWE-287

CWE-290

CWE-347

CWE-273

Identificadores relacionados

CVE-2023-0657

GHSA-7FPJ-9HR8-28VH

Produtos afetados

Keycloak

Referências · 13

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/security/advisories/GHSA-7fpj-9hr8-28vh · Nota
• https://access.redhat.com/errata/RHSA-2024:1867 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1858142589104398804 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2024:1868 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7fpj-9hr8-28vh · Aviso do Fabricante
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-0657 · Nota
• https://t.me/cvenotify/101937 · Publicação no Telegram
• https://t.me/cvedetector/11257 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1858096932381458551 · Publicação no Twitter
• https://access.redhat.com/security/cve/CVE-2023-0657 · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2166728 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-0657 · Nota de Segurança