BDU:2023-05597

Опубликовано: 28 фев. 2023

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость программного средства для управления идентификацией и доступом Keycloak связана с недостатками используемых мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS)

Вендор

Red Hat Inc.

Наименование ПО

Red Hat Single Sign-On

Red Hat Enterprise Linux

Keycloak

Версия ПО

7 (Red Hat Single Sign-On)

8 based Middleware Containers (Red Hat Enterprise Linux)

7.6 (Red Hat Single Sign-On)

22.0.1 (Keycloak)

до 20.0.5 (Keycloak)

Тип ПО

Сетевое программное средство

Операционная система

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8 based Middleware Containers

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,4)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование антивирусных средств защиты;

- мониторинг действий пользователей;

- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;

- применение систем обнаружения и предотвращения вторжений.

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-1274

Для Keycloak:

https://github.com/advisories/GHSA-m4fv-gm5m-4725

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-1274
CVE

EPSS

Процентиль: 75%

0.00891

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVE-2022-1274

CVSS3: 7.6

redhat

почти 3 года назад

A flaw was found in Keycloak in the execute-actions-email endpoint. This issue allows arbitrary HTML to be injected into emails sent to Keycloak users and can be misused to perform phishing or other attacks against users.

CVE-2022-1274

CVSS3: 5.4

nvd

почти 3 года назад

CVE-2022-1274

CVSS3: 5.4

debian

почти 3 года назад

A flaw was found in Keycloak in the execute-actions-email endpoint. Th ...

GHSA-m4fv-gm5m-4725

CVSS3: 5.4

github

почти 3 года назад

HTML Injection in Keycloak Admin REST API

EPSS

Процентиль: 75%

0.00891

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2