PT-2026-4811 · Red Hat · Keycloak

Osidb Bzimport · CVE-2026-1190 · Publicado 2026-01-26 · Atualizado 2026-03-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Keycloak (versões afetadas não especificadas)

Descrição Existe uma falha na funcionalidade de intermediação SAML do Keycloak. Quando o Keycloak é configurado como um cliente em uma configuração de Security Assertion Markup Language (SAML), ele não valida o timestamp NotOnOrAfter dentro do SubjectConfirmationData. Isso permite que um atacante atrase a expiração das respostas SAML, potencialmente estendendo o período durante o qual uma resposta é considerada válida, levando a durações de sessão inesperadas ou consumo de recursos. A vulnerabilidade diz respeito à validação de timestamps em respostas SAML.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Verification of Cryptographic Signature

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-347

CWE-112

CWE-613

Identificadores relacionados

CVE-2026-1190

GHSA-63V5-26VQ-M4VM

Produtos afetados

Keycloak

Referências · 11

• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/issues/45646 · Nota
• https://twitter.com/VulmonFeeds/status/2015913211464237263 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2026:3948 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2026-1190 · Nota
• https://access.redhat.com/errata/RHSA-2026:3947 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2430835 · Nota
• https://t.me/cveNotify/154417 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-1190 · Nota de Segurança
• https://twitter.com/CVEnew/status/2015876118516035703 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-63v5-26vq-m4vm · Aviso do Fabricante