CVE-2022-3782

Keycloak: path traversal przez podwójne kodowanie URL w przekierowaniach

CVSS 9.1v3.1pub. 2023-01-13upd. 2025-04-09

W Keycloak wykryto podatność path traversal umożliwiającą ominięcie walidacji adresów URL używanych w przekierowaniach. Atakujący może spreparować złośliwe żądanie i uzyskać dostęp do chronionych zasobów lub wrażliwych informacji w domenie.

▸ Pokaż oryginał (EN)

keycloak: path traversal via double URL encoding. A flaw was found in Keycloak, where it does not properly validate URLs included in a redirect. An attacker can use this flaw to construct a malicious request to bypass validation and access other URLs and potentially sensitive information within the domain or possibly conduct further attacks. This flaw affects any client that utilizes a wildcard in the Valid Redirect URIs field.

🤖 Analiza AI

Jak działa

Keycloak nie waliduje prawidłowo adresów URL zawartych w żądaniach przekierowania. Atakujący może wykorzystać technikę podwójnego kodowania URL (double URL encoding) do obejścia mechanizmów walidacji i skonstruowania żądania wskazującego na inne zasoby niż dozwolone. Podatność dotyka klientów, które w polu Valid Redirect URIs korzystają z wieloznacznika (wildcard). Umożliwia to dostęp do zasobów spoza zamierzonych ścieżek przekierowania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych informacji w obrębie domeny lub przeprowadzić dalsze ataki, wykorzystując ominięcie walidacji przekierowań (np. ataki open redirect prowadzące do phishingu lub kradzieży tokenów).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://access.redhat.com/security/cve/CVE-2022-3782). Dodatkowo zaleca się audyt konfiguracji klientów Keycloak i zastąpienie wpisów z wildcard dokładnymi, precyzyjnie określonymi adresami URL w polu Valid Redirect URIs.

Kogo dotyczy

Red Hat Keycloak — wersje wskazane w referencjach producenta; dotyczy konfiguracji, w których klienci używają wieloznacznika (wildcard) w polu Valid Redirect URIs