„`html
Zusammenfassung
Die Schwachstelle CVE-2026-82461 betrifft pac4j-oidc in Versionen vor 6.5.6. Die Bibliothek versäumt es, Access Token Signaturen, Aussteller, Audiences und Ablaufzeiten zu validieren, wenn Keycloak Realm- und Client-Rollen extrahiert werden. Angreifer können gefälschte Access Tokens mit administrativen Rollen kombiniert mit gültigen ID Tokens erstellen und Autorisierungsprüfungen in pac4j-abhängigen Anwendungen umgehen.
Betroffene Systeme
Betroffen sind Anwendungen, die pac4j-oidc vor Version 6.5.6 verwenden und auf Keycloak als Identity Provider setzen. Insbesondere Systeme, die rollenbasierte Zugriffskontrolle (RBAC) via pac4j validieren, sind gefährdet. Dies umfasst Web- und API-Anwendungen mit OpenID Connect Integration.
Technische Details
Die Vulnerabilität liegt in der unzureichenden Token-Validierung beim Rollenextraktion-Prozess. pac4j prüft nicht:
- Die Signatur des Access Tokens gegen den öffentlichen Schlüssel des Issuers
- Die Ăśbereinstimmung des Token-Ausstellers (iss-Claim)
- Die Zielgruppe (aud-Claim) des Tokens
- Die Ablaufzeit (exp-Claim) des Tokens
Ein Angreifer mit Netzwerkzugriff kann ein gültiges ID Token eines legitimen Nutzers abfangen und ein böswilliges Access Token mit erhöhten Privilegien (z.B. admin-Rolle) erzeugen. Da die Validierung fehlt, wird dieses Token akzeptiert.
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf pac4j-oidc 6.5.6 oder neuer durchfĂĽhren
- Access Control Listen (ACLs) zusätzlich auf Applikationsebene implementieren
- Token-Validierung in der Anwendungslogik redundant prĂĽfen
Langfristmassnahmen:
- Regelmässige Security Updates für Abhängigkeiten durchführen
- Software Composition Analysis (SCA) Tools einsetzen
- Penetrationstests mit Token-Manipulation durchfĂĽhren
Bewertung
CVSS-Score: 8.1 (High)
Die Schwachstelle ermöglicht Privilege Escalation mit Netzwerkzugriff ohne Authentifizierung erforderlich. Das Ausbleiben eines Patches erhöht das Risiko erheblich. Betroffene Systeme sollten umgehend aktualisiert werden.
„`