A flaw was found in the SAML Redirect Binding implementation of Keycloak, an open-source identity and access management solution. The issue occurs because the custom DEFLATE compression and decompression helpers fail to release native zlib memory after use. An unauthenticated attacker can exploit this by sending repeated malformed SAML requests, leading to native memory exhaustion and a denial of service.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 6
https://access.redhat.com/security/cve/CVE-2026-18212
secalert@redhat.com
https://bugzilla.redhat.com/show_bug.cgi?id=2508307
secalert@redhat.com
https://access.redhat.com/errata/RHSA-2026:68276
secalert@redhat.com
https://access.redhat.com/errata/RHSA-2026:68277
secalert@redhat.com
https://access.redhat.com/errata/RHSA-2026:68278
secalert@redhat.com
https://access.redhat.com/errata/RHSA-2026:68280
secalert@redhat.com