PT-2025-48039 · Red Hat+1 · Keycloak+1

Stianst · Publicado 2025-11-25 · Atualizado 2025-12-26 · CVE-2025-13467

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Existe uma falha no provedor de Federação de Usuários LDAP do Keycloak que permite a um administrador de realm autenticado acionar a desserialização de objetos Java não confiáveis. Isso é realizado por meio de uma configuração maliciosa de servidor LDAP. O problema permite a desserialização de objetos Java não confiáveis.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-13467

ECHO-E9A5-64E7-D563

GHSA-4HX9-48XH-5MXR

GHSA-93VM-MQPW-8WH3

Produtos afetados

Alt Linux

Keycloak

Referências · 24

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/commit/754c070cf8ca187dcc71f0f72ff3130ff2195328 · Nota
• https://github.com/keycloak/keycloak/issues/44478 · Nota
• https://github.com/keycloak/keycloak/releases/tag/26.4.6 · Nota
• https://github.com/keycloak/keycloak/security/advisories/GHSA-4hx9-48xh-5mxr · Nota
• https://github.com/keycloak/keycloak/commit/b90fec41ff17a70858d830750156a8a2e13ddb82 · Nota
• https://access.redhat.com/errata/RHSA-2025:22088 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2025-13467 · Nota
• https://reddit.com/r/VulnMatter/comments/1pt1cm5/resumen_diario_de_vulnerabilidades_22122025 · Publicação no Reddit
• https://access.redhat.com/errata/RHSA-2025:22089 · Aviso do Fabricante
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-13467 · Nota
• https://access.redhat.com/errata/RHSA-2025:22091 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1pttxj6/resumen_diario_de_vulnerabilidades_23122025 · Publicação no Reddit
• https://twitter.com/CVEnew/status/1993354409665818806 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2025:22090 · Aviso do Fabricante