2024-2351: Keycloak, Red Hat Single Sign-On: Mehrere Schwachstellen ermöglichen u. a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2024-09-10 13:34): Neues Advisory

Betroffene Software

Sicherheit

Betroffene Plattformen

Linux
Container

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und einen Open-Redirect Angriff durchzuführen.

Für die Ausnutzung der meisten Schwachstellen sind keine Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Red Hat stellt als Sicherheitsupdate die Version 7.6.10 von Red Hat Single Sign-On 7.6, einschließlich der Versionen für RHEL 8 und RHEL 9, Red Hat OpenShift Container Platform 4.11 for RHEL 8 und Red Hat OpenShift Container Platform 4.12 for RHEL 8 (alle x86_64) bereit, um die Schwachstellen zu beheben.

Zudem stehen Updates für das Container-Image Red Hat build of Keycloak 22 (x86_64) in Version 22.0.12, 22.0.12 Operator, 24.0.7 und 24.0.7 Operator bereit, um die Schwachstellen zu beheben. Die Schwachstellen CVE-2024-7260 und CVE-2024-7318 werden nur für Red Hat build of Keycloak 24.0.7 und 24.0.7 Operator aufgeführt.

Schwachstellen:

CVE-2024-4629

Schwachstelle in Keycloak ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2024-5967

Schwachstelle in Keycloak ermöglicht Ausspähen von Informationen

CVE-2024-7260

Schwachstelle in Keycloak ermöglicht Open-Redirect Angriff

CVE-2024-7318