Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-10695

Опубликовано: 29 окт. 2024
Источник: fstec
CVSS3: 2.7
CVSS2: 4
EPSS Низкий

Описание

Уязвимость программного средства для управления идентификацией и доступом Keycloak связана с некорректным внешним управлением именем или путем файла в результате некорректной проверки регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Red Hat Inc.

Наименование ПО

Red Hat Build of Keycloak
Keycloak

Версия ПО

24 (Red Hat Build of Keycloak)
до 26.0.6 (Keycloak)
24.0.9 (Red Hat Build of Keycloak)
26.0.6 (Red Hat Build of Keycloak)
26.0 (Red Hat Build of Keycloak)

Тип ПО

Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 2,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Keycloak:
https://github.com/keycloak/keycloak/pull/35223/commits/9fe3c398560575b8c51e41f5ba7823b760978472
Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-10492

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 24%
0.00079
Низкий

2.7 Low

CVSS3

4 Medium

CVSS2

Связанные уязвимости

CVSS3: 2.7
redhat
около 1 года назад

A vulnerability was found in Keycloak. A user with high privileges could read sensitive information from a Vault file that is not within the expected context. This attacker must have previous high access to the Keycloak server in order to perform resource creation, for example, an LDAP provider configuration and set up a Vault read file, which will only inform whether that file exists or not.

CVSS3: 2.7
nvd
около 1 года назад

A vulnerability was found in Keycloak. A user with high privileges could read sensitive information from a Vault file that is not within the expected context. This attacker must have previous high access to the Keycloak server in order to perform resource creation, for example, an LDAP provider configuration and set up a Vault read file, which will only inform whether that file exists or not.

CVSS3: 2.7
debian
около 1 года назад

A vulnerability was found in Keycloak. A user with high privileges cou ...

CVSS3: 2.7
github
около 1 года назад

Keycloak Path Traversal Vulnerability Due to External Control of File Name or Path

CVSS3: 6.5
fstec
больше 1 года назад

Уязвимость функции SearchQueryUtils программного средства для управления идентификацией и доступом Keycloak, позволяющая нарушителю вызвать отказ в обслуживании

EPSS

Процентиль: 24%
0.00079
Низкий

2.7 Low

CVSS3

4 Medium

CVSS2