„`html
Zusammenfassung
CVE-2026-11577 beschreibt eine Schwachstelle in Keycloak mit dem Schweregrad „High“ (CVSS 7.2). Die Vulnerabilität ermöglicht es limitierten Administratoren, durch eine unzureichende Zugriffskontrolle ihre Privilegien zu eskalieren und vollständige Realm-Administrator-Rechte zu erlangen. Der Angriff erfolgt ĂĽber den POST /admin/realms/{realm}/partialImport Endpoint.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von Keycloak. Eine exakte Angabe der betroffenen Versionsnummern ist derzeit nicht verfĂĽgbar. Administratoren sollten ihre Keycloak-Installationen ĂĽberprĂĽfen und sich bei den offiziellen Sicherheitsquellen informieren.
Technische Details
Die Vulnerabilität liegt in der unzureichenden Validierung von Zugriffskontrollmechanismen am partialImport-Endpoint. Angreifer mit eingeschränkten Administrator-Rollen können Benutzer mit realm-admin Rollenzuordnungen importieren. Dies umgeht die Fine-Grained Admin Permissions (FGAP), ein Sicherheitsfeature zur granularen Kontrolle administrativer Privilegien.
Das Angriffsszenario erfolgt über das Netzwerk (Network-Vektor). Ein Angreifer benötigt bereits eine gültige Authentifizierung als limitierter Administrator, um diese Schwachstelle auszunutzen.
Empfohlene Massnahmen
- Zugriffskontrollen überprüfen: Überprüfen Sie die FGAP-Konfiguration und beschränken Sie den Zugriff auf den partialImport-Endpoint auf vertrauenswürdige Administratoren
- Audit-Logs analysieren: Prüfen Sie Logs auf verdächtige partialImport-Operationen
- Privilegien reduzieren: Gewähren Sie nur erforderliche Administratorrechte
- Monitoring aktivieren: Implementieren Sie Alerts für Rollenänderungen und Benutzerimporte
- Sicherheitsupdates abwarten: Informieren Sie sich ĂĽber verfĂĽgbare Patches und spielen Sie diese zeitnah ein
Bewertung
Mit einem CVSS-Wert von 7.2 stuft sich diese Schwachstelle als „High“ ein. Da aktuell kein Patch verfĂĽgbar ist, sollten Organisationen mit Keycloak-Deployments unmittelbar ihre Systeme ĂĽberprĂĽfen und compensating Controls implementieren, um das Privileg-Eskalationsrisiko zu minimieren.
„`