Red Hat Build of Keycloak
Red Hat Build of Keycloak: policy JavaScript malevola eseguibile sul server
Il problema, secondo i dati ufficiali
- Quando un client viene creato o importato con i servizi di autorizzazione attivi, Keycloak non ripulisce correttamente un attributo di sessione interno usato durante la configurazione.
- Un attaccante autenticato con permessi di gestione dei client può così aggirare i controlli di sicurezza e caricare una policy JavaScript malevola, che viene eseguita sul server quando arriva una richiesta di autorizzazione.
- In questo modo potrebbe eseguire codice arbitrario sul server e compromettere l'intero sistema.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- access.redhat.com — riferimento
- bugzilla.redhat.com — riferimento
Descrizione ufficiale (in inglese)
A flaw was found in the Keycloak server's client management component. When a client is created or imported with authorization services enabled, the system fails to properly clear an internal session attribute used during the setup process. This allows an authenticated attacker with client management permissions to bypass security controls and upload a malicious JavaScript policy, which is then executed on the server when an authorization request is made. Successful exploitation could allow the attacker to run arbitrary code on the server, potentially compromising the entire system.
Non sai se ti riguarda?
Se usi Red Hat Build of Keycloak e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 9 novembre 2026. Prima di intervenire verifica l'avviso del produttore.