PT-2024-4437 · Red Hat · Keycloak

Mauro Matteo Cascella · CVE-2024-4540 · Publicado 2024-05-06 · Atualizado 2026-02-25

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Keycloak (versões afetadas não especificadas)

Descrição

Foi identificada uma falha no Keycloak relacionada às solicitações de autorização OAuth 2.0 Pushed Authorization Requests (PAR). Verificou-se que os parâmetros fornecidos pelo cliente estavam incluídos em texto simples no cookie KC RESTART retornado pela resposta HTTP do servidor de autorização a uma solicitação de autorização request uri, o que poderia levar a uma vulnerabilidade de divulgação de informações.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Cleartext Storage of Sensitive Information

Information Disclosure

Insecure Storage of Sensitive Information

Enumeração de Fraquezas

CWE-315

CWE-312

CWE-200

CWE-922

Identificadores relacionados

BDU:2024-04939

CVE-2024-4540

GHSA-4VRX-8PHJ-X3MG

GHSA-69FP-7C8P-CRJR

RHSA-2024:3566

RHSA-2024:3567

RHSA-2024:3568

Produtos afetados

Keycloak

Referências · 30

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/security/advisories/GHSA-69fp-7c8p-crjr · Nota
• https://github.com/keycloak/keycloak/commit/2191cc26ae6deb52eeaf74046027b65804d16fd0 · Nota
• https://access.redhat.com/errata/RHSA-2024:3570 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1799320523857592744 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2024:3575 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-69fp-7c8p-crjr · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4540 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2024:3567 · Aviso do Fabricante
• https://t.me/cvenotify/81797 · Publicação no Telegram
• https://avd.aquasec.com/nvd/2024/cve-2024-4540 · Nota
• https://access.redhat.com/errata/RHSA-2024:3572 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-04939 · Nota de Segurança
• https://twitter.com/cracbot/status/1798958144770674910 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1797657287139426601 · Publicação no Twitter