Red Hat Build of Keycloak
Red Hat Build of Keycloak: SAML non firmato accettato, account federati a rischio
Il problema, secondo i dati ufficiali
- Nel binding SAML HTTP-Redirect di Red Hat Build of Keycloak, il server elabora i nomi di parametro codificati in percent-encoding (come %53AMLResponse), mentre la verifica della firma controlla solo i nomi scritti in forma letterale.
- Per questa differenza, un attaccante può fornire un messaggio SAML costruito ad arte e non firmato, che il server elabora al posto di quello legittimamente firmato.
- Il risultato è la presa di controllo completa degli account degli utenti federati.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, anche da internet se il servizio è esposto, senza bisogno di un account.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- access.redhat.com — riferimento
- bugzilla.redhat.com — riferimento
Descrizione ufficiale (in inglese)
A flaw was found in the SAML HTTP-Redirect binding implementation of Keycloak. The issue occurs because the server processes percent-encoded parameter names (like %53AMLResponse) while the signature verification logic only checks literal parameter names. An attacker can use this discrepancy to provide a crafted, unsigned SAML message that the server processes instead of a legitimately signed one, leading to full account takeover of federated users.
Non sai se ti riguarda?
Se usi Red Hat Build of Keycloak e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.