Уязвимость CVE-2026-105305 в Keycloak: обход MFA через Device Authorization Grant
В OIDC-реализации Keycloak обнаружена уязвимость в потоке Device Authorization Grant, позволяющая обойти обязательную многофакторную аутентификацию. Атакующий, уже укравший пароль пользователя, может получить доступ к Admin REST API в обход требования minimum.acr.value. Уровень опасности — средний (CVSS 5.4).
Подробности
Уязвимость затрагивает поток Device Authorization Grant — механизм OIDC, предназначенный для устройств с ограниченными возможностями ввода (например, ТВ-приставок, IoT-устройств, CLI-клиентов). Этот поток позволяет таким устройствам получать токены доступа от имени пользователя. Суть проблемы в том, что при обработке Device Authorization Grant Keycloak не проверяет минимальный уровень аутентификации, заданный в конфигурации клиента (minimum.acr.value). Это означает, что требование обязательного прохождения MFA для конкретного клиента фактически игнорируется при использовании данного потока. В результате атакующий, уже завладевший паролем пользователя (например, через фишинг, утечку или перебор), может аутентифицироваться исключительно по паролю — без второго фактора — и получить несанкционированный доступ к Keycloak Admin REST API. Таким образом, наличие украденного пароля становится достаточным условием для компрометации, что существенно снижает защитный эффект MFA. Под уязвимость подпадают продукты: - Red Hat Build of Keycloak; - Red Hat Single Sign-On 7. Конкретные версии в записи CVE не указаны.Что делать
Основная рекомендация — как можно скорее обновить затронутые продукты до версий, содержащих исправление, и следить за официальными бюллетенями безопасности Red Hat и релизами Keycloak. До применения обновления можно рассмотреть следующие компенсирующие меры: - ограничить или временно отключить использование Device Authorization Grant там, где он не является критически необходимым; - усилить мониторинг и аудит обращений к Admin REST API, особенно в части аутентификации по данному потоку; - проверить конфигурации клиентов, для которых задан minimum.acr.value, и убедиться, что требования MFA не полагаются исключительно на этот параметр; - оперативно реагировать на признаки компрометации учётных данных (аномальные входы, смена паролей, подозрительные операции в админ-интерфейсе). Также стоит напомнить пользователям о рисках повторного использования паролей и внедрить дополнительные защитные механизмы, снижающие последствия утечки учётных данных. Итог: CVE-2026-105305 — умеренно опасная, но коварная уязвимость: она не позволяет обойти аутентификацию с нуля, однако сводит на нет защиту MFA в сценариях, где пароль уже скомпрометирован. Для организаций, использующих Keycloak и Red Hat Single Sign-On, приоритетом должно стать своевременное обновление и контроль доступа к административному API.Источник: CVE Project (cvelistV5)