descrizione

Red Hat ha pubblicato un aggiornamento di sicurezza per Red Hat build of Keycloak, piattaforma standalone per l’autenticazione e il Single Sign‑On basata sul progetto open source Keycloak, volto a correggere diverse vulnerabilità di sicurezza che interessano i meccanismi di autorizzazione, la gestione dei token, la validazione dei parametri OpenID Connect e l’isolamento dei componenti interni.

Tra le vulnerabilità corrette figura CVE‑2026‑4636, che consente a un utente autenticato in possesso del ruolo uma_protection di aggirare la validazione delle policy di User‑Managed Access (UMA). L’access control incompleto permette all’attaccante di includere identificativi di risorse appartenenti ad altri utenti durante la creazione di policy di autorizzazione, ottenendo così permessi non autorizzati su risorse di terzi. Questo comportamento consente il rilascio di Requesting Party Token (RPT) validi per risorse non legittime, con accesso a informazioni sensibili o possibilità di eseguire azioni non autorizzate.

L’aggiornamento corregge inoltre una vulnerabilità di divulgazione di informazioni (CVE‑2026‑3872) causata da un bypass della validazione del parametro redirect_uri, che può permettere l’esposizione di dati sensibili nel contesto dei flussi OAuth2/OpenID Connect. È stata inoltre risolta una vulnerabilità (CVE‑2026‑4325) che consente il riutilizzo (replay) dei token di azione, dovuta a una gestione non corretta delle entry a utilizzo singolo, con potenziali impatti sull’integrità dei flussi di autenticazione e autorizzazione.

Ulteriori problematiche includono CVE‑2026‑4282, una vulnerabilità di privilege escalation che consente la creazione di authorization code falsificati a causa di un isolamento insufficiente del componente SingleUseObjectProvider, e CVE‑2026‑4634, una vulnerabilità di Denial of Service che può essere sfruttata inviando richieste contenenti un numero eccessivo di parametri scope nei flussi OpenID Connect, causando un consumo anomalo delle risorse di sistema.

Red Hat ha risolto tutte le vulnerabilità rilasciando Red Hat build of Keycloak 26.2.15. Non sono riportati workaround efficaci; si raccomanda pertanto di procedere all’aggiornamento dopo aver eseguito un backup completo dell’installazione, incluse configurazioni, applicazioni integrate e database. Le installazioni non aggiornate devono essere considerate esposte a rischi elevati in termini di accesso non autorizzato, escalation di privilegi e indisponibilità del servizio.