Im Identitäts- und Zugangsverwaltungssystem Keycloak klaffen Sicherheitslücken, die Angreifer etwa zum Übernehmen von Konten missbrauchen können. Mit einer aktualisierten Softwareversion schließen die Entwickler sieben teils kritische Sicherheitslücken.
In der Versionsankündigung zu Keycloak 26.7.2 findet sich der Hinweis auf die gravierende Sicherheitslücke CVE-2026-18963 (CVSS 9.1, Risiko „kritisch“), die nicht angemeldeten Angreifern aus dem Netz ermöglicht, Konten im System zu übernehmen. Sie müssen dafür lediglich einen Username respektive eine E-Mail-Adresse kennen und können das Rücksetzen des Passworts für beliebige Nutzer einschließlich Admins anfordern. Und ohne jemals die Passwort-Rücksetz-E-Mail erhalten zu haben, können sie dann ein beliebiges Passwort vergeben, wie dem Proof-of-Concept-Repository zu entnehmen ist.
Insbesondere Red Hat hat gleich vier Sicherheitsmitteilungen dazu veröffentlicht, die jedoch lediglich die Lücke respektive die unterschiedlichen neuen Versionen und Images aufzählen (26.4.15 Images Security Update, 26.4.15 Security Update, 26.6.6 Images Security Update, 26.6.6 Security Update). Neben der Schwachstelle, die sich zur Übernahme von Konten missbrauchen lässt, schließen die Programmierer noch weitere Sicherheitslücken in Version 26.7.2, wofür Red Hat die Korrekturen teilweise zurückportiert hat.
Weitere geschlossene Sicherheitslücken
Die weiteren Schwachstellen, die das neue Release ausbessert, umfassen:
- Das OpenTelemetry Java SDK weist eine unbegrenzte Speicherzuweisung bei der W3C-Baggage-Propagation auf (CVE-2026-45292, laut Red Hat CVSS 7.5, Risiko „hoch“)
- Vorhersehbarer Hash bei der Kontoverknüpfung ermöglicht die Übernahme eines Kontos über einen bösartigen OIDC-Client (CVE-2026-15571, CVSS 7.3, Risiko „hoch“)
- Aktualisierung auf jackson-databind 2.21.5 zum Schließen von Lücken (CVE-2026-59888, CVE-2026-59889, beide CVSS 6.5, Risiko „mittel“)
- Die Keycloak-Admin-REST-API gibt im Vault aufgelöste, rotierte Client-Geheimnisse preis (CVE-2026-17048, CVSS 5.5, Risiko „mittel“)
- Die Suche nach Gruppenhierarchien deckt unter FGAP v2 verborgene übergeordnete Gruppen auf (CVE-2026-15945, CVSS 4.3, Risiko „mittel“)
- Umgehung detaillierter Administratorrechte über Endpunkt „Rollengruppen“ (CVE-2026-14613, CVSS 4.3, Risiko „mittel“)
IT-Verantwortliche sollten das Keycloak-Update aufgrund der kritischen Sicherheitslücke zügig installieren.
Zuletzt wurden Sicherheitsprobleme mit der Keycloak-Anbindung für Apache Airflow im April dieses Jahres bekannt. Betroffene Systeme hätten sich schlimmstenfalls vollständig kompromittieren lassen.
(dmk)
English (US) ·