РелизВерсия 26.8.1
Keycloak 26.8.1: исправлены уязвимости OIDC и административных прав
13 октября вышел Keycloak 26.8.1 с обширным перечнем исправлений безопасности для федерации входа, административных прав и проверки учётных данных.
Проект выпустил Keycloak 26.8.1 с большим перечнем устранённых уязвимостей. Исправления относятся к федерации удостоверений, протоколу OIDC, разграничению административных прав и процессу аутентификации.
Среди описанных проблем — возможность принять поддельное неподписанное уведомление о завершении сеанса при определённых настройках проверки подписи OIDC, ошибки связывания внешних учётных записей и обходы ограничений в административных сценариях.
Разработчики также сообщают об исправлениях сценариев повышения прав делегированного администратора, обхода обязательной настройки двухфакторной аутентификации и межобластного доступа к ресурсам (realms). Перечень включает проблемы с сертификатами, SMTP STARTTLS и обменом токенами.
Указанные в релизе уязвимости зависят от конкретных механизмов и настроек. Перечень исправлений не означает, что каждая проблема присутствовала во всех установках Keycloak.