Уязвимость обхода пути в Keycloak-quarkus-server (CVE-2024-10492)
В Keycloak обнаружена уязвимость обхода пути, позволяющая привилегированному пользователю получать информацию о наличии файлов Vault за пределами ожидаемого контекста. Проблема затрагивает ряд версий Red Hat build of Keycloak, JBoss EAP и Red Hat Single Sign-On. Критичность оценена как низкая (CVSS 2.7).
Подробности
Уязвимость затрагивает Red Hat build of Keycloak версий 24, 24.0.9, 26.0 и 26.0.6, а также Red Hat JBoss Enterprise Application Platform 8, Red Hat JBoss Enterprise Application Platform Expansion Pack и Red Hat Single Sign-On 7. Согласно описанию, пользователь с высокими привилегиями может прочитать конфиденциальную информацию из файла Vault, который не находится в ожидаемом контексте. Для эксплуатации атакующему необходим предварительный высокий уровень доступа к серверу Keycloak, позволяющий создавать ресурсы — например, настроить LDAP-провайдер и указать файл для чтения из Vault. При этом результатом атаки является лишь информация о том, существует ли указанный файл, или нет. Уровень опасности по шкале CVSS составляет 2.7, что соответствует низкой критичности. Столь низкая оценка обусловлена тем, что для эксплуатации требуются уже имеющиеся высокие привилегии, а объём раскрываемой информации ограничен фактом существования файла.Что делать
Рекомендуется обновить затронутые продукты до актуальных версий, в которых устранена данная уязвимость. В первую очередь это касается организаций, использующих Red Hat build of Keycloak, JBoss EAP и Red Hat Single Sign-On в своих инфраструктурах. До момента установки обновлений следует пересмотреть и минимизировать число учётных записей с высокими привилегиями на сервере Keycloak, а также ограничить возможности создания ресурсов и настройки провайдеров для непривилегированных пользователей. Дополнительно стоит контролировать доступ к файлам Vault и журналировать операции, связанные с их чтением. Важно учитывать, что уязвимость не позволяет напрямую прочитать содержимое произвольных файлов — она лишь раскрывает информацию о том, существует ли конкретный файл. Тем не менее пренебрегать обновлением не стоит, особенно в средах с большим числом привилегированных пользователей. Итог: CVE-2024-10492 представляет ограниченный риск из-за низкого CVSS и требований к привилегиям атакующего, однако администраторам Keycloak и связанных продуктов Red Hat следует своевременно применить патчи и пересмотреть модель разграничения доступа.Источник: CVE Project (cvelistV5)