BDU:2023-05658

Опубликовано: 26 июн. 2023

Источник: fstec

CVSS3: 5.5

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость программного средства для управления идентификацией и доступом Keycloak связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

Red Hat Inc.

Наименование ПО

Red Hat Single Sign-On

Red Hat Enterprise Linux

Keycloak

Версия ПО

7 (Red Hat Single Sign-On)

8 based Middleware Containers (Red Hat Enterprise Linux)

7.6 (Red Hat Single Sign-On)

22.0.1 (Keycloak)

до 21.1.2 (Keycloak)

Тип ПО

Сетевое программное средство

Операционная система

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8 based Middleware Containers

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование антивирусных средств защиты;

- мониторинг действий пользователей;

- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;

- применение систем обнаружения и предотвращения вторжений.

Использование рекомендаций:

Для Keycloak:

https://github.com/keycloak/keycloak/security/advisories/GHSA-3qh5-qqj2-c78f

https://github.com/keycloak/keycloak/commit/5c6c55945a384bfd82e51283096204dcb6f63d91

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-2422

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-2422
CVE

EPSS

Процентиль: 52%

0.00294

Низкий

5.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2023-2422

CVSS3: 5.5

redhat

больше 2 лет назад

A flaw was found in Keycloak. A Keycloak server configured to support mTLS authentication for OAuth/OpenID clients does not properly verify the client certificate chain. A client that possesses a proper certificate can authorize itself as any other client, therefore, access data that belongs to other clients.

CVE-2023-2422

CVSS3: 5.5

nvd

больше 2 лет назад

CVE-2023-2422

CVSS3: 5.5

debian

больше 2 лет назад

A flaw was found in Keycloak. A Keycloak server configured to support ...

GHSA-3qh5-qqj2-c78f

CVSS3: 7.1

github

больше 2 лет назад

Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients

EPSS

Процентиль: 52%

0.00294

Низкий

5.5 Medium

CVSS3

6.8 Medium

CVSS2