CVE-2026-16443

Pominięcie weryfikacji podpisu SAML w Red Hat Build of Keycloak

CVSS 7.4v3.1pub. 2026-08-05upd. 2026-08-10

Błąd w komponencie keycloak-services powoduje, że import metadanych dostawcy tożsamości SAML bez atrybutów użycia kluczy skutkuje wyłączeniem walidacji podpisu odpowiedzi SAML, mimo że certyfikat podpisujący jest obecny. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie odpowiedzi SAML i przejęcie konta użytkownika.

▸ Pokaż oryginał (EN)

A flaw was found in the SAML metadata import functionality of the keycloak-services component, which is the core engine for identity brokering in Red Hat Build of Keycloak. When importing identity provider metadata that lacks specific usage attributes for keys, the system incorrectly disables signature validation for SAML responses even if a signing certificate is provided. This issue allows an unauthenticated attacker to forge a SAML response and gain unauthorized access to a user account by knowing their external identifier.

🤖 Analiza AI

Jak działa

Podatność dotyczy funkcjonalności importu metadanych SAML w komponencie keycloak-services, stanowiącym rdzeń mechanizmu identity brokering. Gdy importowane metadane dostawcy tożsamości nie zawierają atrybutów określających przeznaczenie kluczy (key usage attributes), system błędnie wyłącza walidację podpisu dla odpowiedzi SAML. W efekcie atakujący może skonstruować sfałszowaną odpowiedź SAML i uwierzytelnić się jako dowolny użytkownik, znając jedynie jego zewnętrzny identyfikator.

Skutki

Nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do konta dowolnego użytkownika poprzez sfałszowanie odpowiedzi SAML, co stanowi pełne ominięcie mechanizmu uwierzytelniania (Auth Bypass). Skutkuje to naruszeniem poufności i integralności danych chronionych przez zhakowane konto.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (Red Hat errata RHSA-2026:50846, RHSA-2026:50847, RHSA-2026:50848, RHSA-2026:50849). Jako środek doraźny zaleca się weryfikację konfiguracji importowanych metadanych SAML i upewnienie się, że wszystkie metadane dostawców tożsamości zawierają poprawnie zdefiniowane atrybuty użycia kluczy.