PT-2025-44075 · Red Hat · Keycloak

Osidb Bzimport · CVE-2025-11419 · Publicado 2025-10-27 · Atualizado 2026-02-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição O Keycloak está suscetível a um ataque de Negação de Serviço (DoS). Isso se deve a uma configuração padrão do Java Development Kit (JDK) que permite a Renegociação Iniciada pelo Cliente no protocolo TLS 1.2. Um atacante que não precisa ser autenticado pode enviar solicitações de renegociação TLS repetidas. Isso pode sobrecarregar a CPU do servidor, levando à indisponibilidade do serviço.

Recomendações Defina a propriedade do sistema Java -Djdk.tls.rejectClientInitiatedRenegotiation=true na configuração de inicialização do Keycloak.

Exploit

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

CVE-2025-11419

GHSA-Q8HQ-4H99-FJ7X

Produtos afetados

Keycloak

Referências · 22

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/11xxx/CVE-2025-11419.json · Exploit
• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/discussions/25209 · Nota
• https://github.com/keycloak/keycloak/issues/43020 · Nota
• https://github.com/keycloak/keycloak/security/advisories/GHSA-q8hq-4h99-fj7x · Nota
• https://access.redhat.com/errata/RHSA-2025:18254 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q8hq-4h99-fj7x · Aviso do Fabricante
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-11419 · Nota
• https://access.redhat.com/errata/RHSA-2025:18890 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1oibp2u/resumen_diario_de_vulnerabilidades_28102025 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2025-11419 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2025:18255 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2402142 · Nota
• https://twitter.com/transilienceai/status/2022151614501417446 · Publicação no Twitter
• https://twitter.com/VolerionSec/status/2003578474242396671 · Publicação no Twitter