Keycloak-services: неаутентифицированный DoS через неограниченное кэширование локалей (CVE-2026-79651)

В компоненте keycloak-services — ядре, отвечающем за процессы аутентификации и управление темами в Keycloak, — выявлена уязвимость, получившая идентификатор CVE-2026-79651. Проблема затрагивает конечные точки локализации тем (theme localization endpoints) и позволяет злоумышленнику, не проходя аутентификацию, спровоцировать отказ в обслуживании (DoS).

Подробности

Уязвимость связана с тем, что система принимает произвольные locale-теги из неаутентифицированных запросов и сохраняет их в постоянном кэше в оперативной памяти без каких-либо ограничений по размеру или количеству записей. Атакующий может отправлять большое число уникальных locale-тегов, из-за чего кэш неограниченно разрастается. В конечном итоге это приводит к исчерпанию памяти сервера и его аварийному завершению, то есть к полному отказу в обслуживании. Уязвимости присвоен рейтинг CVSS 7.5 (HIGH). Для эксплуатации не требуются учётные данные — достаточно сетевого доступа к уязвимым конечным точкам, что существенно расширяет круг потенциальных атакующих. Затронуты следующие продукты и версии:

• Red Hat build of Keycloak 26.4
• Red Hat build of Keycloak 26.4.16
• Red Hat build of Keycloak 26.6
• Red Hat build of Keycloak 26.6.7
• Red Hat Single Sign-On 7

Что делать

Основная рекомендация — как можно скорее обновиться до версий, в которых устранена уязвимость. Следует отслеживать официальные бюллетени Red Hat и применять выпущенные патчи для Red Hat build of Keycloak и Red Hat Single Sign-On 7. Если немедленное обновление невозможно, рекомендуется применить компенсирующие меры:

• ограничить сетевой доступ к конечным точкам локализации тем Keycloak, оставив их доступными только для доверенных сегментов сети;
• разместить перед сервисом reverse proxy или WAF с фильтрацией запросов и ограничением частоты обращений (rate limiting);
• настроить мониторинг потребления памяти и аномальной активности на эндпоинтах локализации, чтобы оперативно выявлять попытки эксплуатации;
• по возможности ограничить допустимый набор locale-тегов на уровне инфраструктуры.

Итог: CVE-2026-79651 — это серьёзная уязвимость отказа в обслуживании, эксплуатируемая без аутентификации. Неограниченное кэширование произвольных локалей делает сервер уязвимым к быстрому исчерпанию памяти. Организациям, использующим затронутые версии Keycloak и Red Hat Single Sign-On, следует приоритизировать обновление и усилить контроль доступа к соответствующим эндпоинтам.

Источник: CVE Project (cvelistV5)