В Keycloak обнаружена ошибка. Злоумышленник, не прошедший проверку подлинности, может воспользоваться этой уязвимостью, отправив специально созданный запрос POST со слишком длинным параметром области в конечную точку токена OpenID Connect (OIDC). Это приводит к высокому потреблению ресурсов и увеличению времени обработки, что в конечном итоге приводит к отказу в обслуживании (DoS) для сервера Keycloak.
Показать оригинальное описание (EN)
A flaw was found in Keycloak. An unauthenticated attacker can exploit this vulnerability by sending a specially crafted POST request with an excessively long scope parameter to the OpenID Connect (OIDC) token endpoint. This leads to high resource consumption and prolonged processing times, ultimately resulting in a Denial of Service (DoS) for the Keycloak server.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 5
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Redhat Build_Of_Keycloak
cpe:2.3:a:redhat:build_of_keycloak:-:*:*:*:text-only:*:*:*
|
— | — |
|
Redhat Build_Of_Keycloak
cpe:2.3:a:redhat:build_of_keycloak:26.2:*:*:*:text-only:*:*:*
|
— | — |
|
Redhat Build_Of_Keycloak
cpe:2.3:a:redhat:build_of_keycloak:26.2.15:*:*:*:text-only:*:*:*
|
— | — |
|
Redhat Build_Of_Keycloak
cpe:2.3:a:redhat:build_of_keycloak:26.4:*:*:*:text-only:*:*:*
|
— | — |
|
Redhat Build_Of_Keycloak
cpe:2.3:a:redhat:build_of_keycloak:26.4.11:*:*:*:text-only:*:*:*
|
— | — |