„`html
Zusammenfassung
CVE-2026-17059 ist eine Authentifizierungs- und Autorisierungslücke in der keycloak-services Bibliothek, dem Kernkomponenten des Keycloak Identity und Access Management (IAM) Systems. Die Schwachstelle ermöglicht es eingeschränkten Administratoren, auf Benutzerinformationen zuzugreifen, für die sie keine Berechtigung haben. Der Schweregrad wird mit Medium (CVSS 6.5) bewertet.
Betroffene Systeme
Die Vulnerability betrifft Installationen des Keycloak IAM-Systems, die die betroffene keycloak-services Bibliothek verwenden. Dies umfasst verschiedene Versionen und Bereitungsszenarien (On-Premise, Cloud-Deployment, Container). Ein spezifisches Patch ist derzeit nicht verfügbar.
Technische Details
Die Schwachstelle liegt im role-users Endpoint von keycloak-services. Beim Abrufen der Benutzerliste einer bestimmten Rolle werden die Berechtigungsprüfungen nicht korrekt durchgeführt. Das System validiert nicht, ob der anfragende Administrator die Berechtigung zum Anzeigen einzelner Benutzer besitzt.
Ein Angreifer mit eingeschränkten Administratorrechten kann diese Lücke ausnutzen, um:
- Benutzernamen und E-Mail-Adressen zu enumerieren
- Auf private Benutzerinformationen zuzugreifen
- Rollen-Memberships zu rekonstruieren
Der Angriffsvektor ist netzwerkgestützt und erfordert eine vorherige Authentifizierung als Administrator.
Empfohlene Massnahmen
- Überprüfung der Benutzerberechtigungen in IAM-Systemen durchführen
- Monitoring der role-users API-Aufrufe implementieren
- Auf verfügbare Sicherheits-Updates prüfen
- Administratorrechte nach dem Least-Privilege-Prinzip verteilen
- Audit-Logging für sensible Operationen aktivieren
- Kommunikation mit dem Keycloak Security Team verfolgen
Bewertung
CVSS Score: 6.5 (Medium)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja
Patch-Status: Noch nicht verfügbar
Diese Schwachstelle stellt ein moderates Risiko für die Vertraulichkeit dar, da sie unbefugten Datenzugriff ermöglicht, jedoch keine Systemkompromittierung oder Datenmanipulation erlaubt.
„`