Keycloak-services: обход аутентификации через подмену KDC (CVE-2026-95503)
В Kerberos-провайдере федерации Keycloak обнаружена уязвимость, позволяющая злоумышленнику в той же сети подменить Key Distribution Center и обойти процесс аутентификации. Проблема затрагивает Red Hat Build of Keycloak и Red Hat Single Sign-On 7 при использовании парольной аутентификации Kerberos без SPNEGO. Уязвимости присвоен уровень серьёзности CVSS 6.8 (MEDIUM).
Подробности
Проблема проявляется при использовании парольной аутентификации Kerberos без SPNEGO. В этом сценарии система не проверяет подлинность KDC путём запроса серверного тикета. Из-за отсутствия такой проверки атакующий, находящийся в той же сети, что и целевая система, может выдать себя за KDC и подменить его ответы. Это позволяет обойти процесс аутентификации и потенциально получить несанкционированный доступ к пользовательским учётным записям. Под уязвимость подпадают следующие продукты: - Red Hat Build of Keycloak; - Red Hat Single Sign-On 7. Согласно описанию CVE, речь идёт именно о конфигурациях, где включена парольная аутентификация Kerberos без SPNEGO. Сетевой вектор атаки означает, что злоумышленнику требуется доступ к тому же сетевому сегменту, что и уязвимая система, — это несколько снижает практическую эксплуатируемость, но не устраняет риск, особенно в плохо сегментированных внутренних сетях.Что делать
Основная рекомендация — как можно скорее обновить затронутые продукты до версий, в которых устранена уязвимость. Информацию о конкретных исправленных релизах следует уточнять у вендора (Red Hat) в официальных бюллетенях безопасности, поскольку запись CVE не содержит сведений о версиях с патчем. Если немедленное обновление невозможно, стоит рассмотреть следующие меры: - по возможности отказаться от парольной аутентификации Kerberos без SPNEGO в пользу конфигураций с проверкой подлинности KDC; - ограничить сетевой доступ к сервисам Keycloak и каналам взаимодействия с KDC, применив сегментацию сети и правила межсетевого экрана; - обеспечить защиту от подмены и перехвата трафика Kerberos, чтобы атакующий не мог выдать себя за KDC; - усилить мониторинг событий аутентификации на предмет аномалий, которые могут указывать на попытки подмены KDC. Также рекомендуется проверить, используется ли в инфраструктуре затронутая конфигурация, и оценить возможные последствия для учётных записей, доступных через Kerberos-федерацию.Итог
CVE-2026-95503 — это уязвимость среднего уровня критичности в Kerberos-провайдере Keycloak, позволяющая обойти аутентификацию за счёт подмены KDC при парольной аутентификации Kerberos без SPNEGO. Затронуты Red Hat Build of Keycloak и Red Hat Single Sign-On 7. Ключевые меры защиты — своевременное обновление до исправленных версий, пересмотр конфигурации Kerberos и сетевая сегментация. Организациям, использующим эти продукты, следует оперативно проверить свои настройки и применить патчи.Источник: CVE Project (cvelistV5)