PT-2026-47027 · Unknown+1 · Uds-Identity-Config+1

Joelmccoy · Publicado 2026-05-12 · Atualizado 2026-06-09 · CVE-2026-46389

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas UDS Identity Config versões 0.11.0 a 0.26.0

Descrição Um erro de lógica existe no autenticador de cliente Keycloak client-kubernetes-secret. Este erro faz com que o client secret enviado seja sobrescrito pelo segredo do Kubernetes montado antes que a comparação ocorra. Um invasor que consiga acessar o endpoint de token do Keycloak e conheça um client id que utilize este autenticador pode se autenticar como esse cliente usando qualquer valor para o client secret para obter tokens OAuth2 com o escopo da conta de serviço do cliente. Caso o cliente uds-operator seja o alvo, o token obtido pode ser usado para registrar ou modificar outros clientes.

Recomendações Atualizar para a versão 0.26.1.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

CWE-303

Identificadores relacionados

BDU:2026-07969

CVE-2026-46389

Produtos afetados

Keycloak

Uds-Identity-Config

Referências · 9

• https://github.com/defenseunicorns/uds-identity-config/security/advisories/GHSA-8mg2-6588-r4hw · Aviso do Fabricante
• https://github.com/defenseunicorns/uds-identity-config/releases/tag/v0.26.1 · Nota
• https://twitter.com/SecAlertsCo/status/2063283681196695955 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-07969 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-46389 · Nota de Segurança
• https://twitter.com/CVEnew/status/2063205042920862119 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2063205823019442620 · Publicação no Twitter
• https://thehackerwire.com/uds-identity-config-critical-keycloak-auth-bypass-cve-2026-46389 · Nota
• https://twitter.com/KaitanSecurity/status/2064316596030513381 · Publicação no Twitter