Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-05659

Опубликовано: 26 мая 2023
Источник: fstec
CVSS3: 6.5
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость программного средства для управления идентификацией и доступом Keycloak связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

Red Hat Inc.

Наименование ПО

Red Hat Single Sign-On
Red Hat Enterprise Linux
Red Hat JBoss A-MQ
Migration Toolkit for Runtimes
Keycloak

Версия ПО

7 (Red Hat Single Sign-On)
8 based Middleware Containers (Red Hat Enterprise Linux)
7.6 (Red Hat Single Sign-On)
7 (Red Hat JBoss A-MQ)
- (Migration Toolkit for Runtimes)
22.0.1 (Keycloak)
- (Keycloak)

Тип ПО

Сетевое программное средство
Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8 based Middleware Containers

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций:
Для Keycloak:
https://github.com/advisories/GHSA-5cc8-pgp5-7mpm
https://github.com/keycloak/keycloak/security/advisories/GHSA-5cc8-pgp5-7mpm
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-1664

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 47%
0.00238
Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
redhat
почти 3 года назад

A flaw was found in Keycloak. This flaw depends on a non-default configuration "Revalidate Client Certificate" to be enabled and the reverse proxy is not validating the certificate before Keycloak. Using this method an attacker may choose the certificate which will be validated by the server. If this happens and the KC_SPI_TRUSTSTORE_FILE_FILE variable is missing/misconfigured, any trustfile may be accepted with the logging information of "Cannot validate client certificate trust: Truststore not available". This may not impact availability as the attacker would have no access to the server, but consumer applications Integrity or Confidentiality may be impacted considering a possible access to them. Considering the environment is correctly set to use "Revalidate Client Certificate" this flaw is avoidable.

CVSS3: 6.5
nvd
больше 2 лет назад

A flaw was found in Keycloak. This flaw depends on a non-default configuration "Revalidate Client Certificate" to be enabled and the reverse proxy is not validating the certificate before Keycloak. Using this method an attacker may choose the certificate which will be validated by the server. If this happens and the KC_SPI_TRUSTSTORE_FILE_FILE variable is missing/misconfigured, any trustfile may be accepted with the logging information of "Cannot validate client certificate trust: Truststore not available". This may not impact availability as the attacker would have no access to the server, but consumer applications Integrity or Confidentiality may be impacted considering a possible access to them. Considering the environment is correctly set to use "Revalidate Client Certificate" this flaw is avoidable.

CVSS3: 6.5
debian
больше 2 лет назад

A flaw was found in Keycloak. This flaw depends on a non-default confi ...

CVSS3: 6.5
github
больше 2 лет назад

Keycloak Untrusted Certificate Validation vulnerability

EPSS

Процентиль: 47%
0.00238
Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2