„`html
Zusammenfassung
CVE-2026-18215 beschreibt eine kritische Authentifizierungslücke in Keycloak, bei der die Tenant-Restriction für Microsoft-Konten durch die Token-Exchange-Funktion umgangen werden kann. Angreifer können sich mit Microsoft-Tokens aus fremden Organisationen authentifizieren und unauthorized Zugriff auf Keycloak-Realms erlangen.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von Keycloak mit aktivierter Microsoft-Integration und Token-Exchange-Feature. Systeme mit Microsoft Azure AD Federation sind besonders gefährdet. Benutzer sollten ihre Keycloak-Instanzen überprüfen, sofern diese als Identity Provider mit Microsoft-Account-Anbindung konfiguriert sind.
Technische Details
Die Anfälligkeit liegt in der unzureichenden Validierung von Organization-Restrictions bei Token-Exchange-Operationen. Normalerweise enforced Keycloak die Tenant-Restriction durch Überprüfung der Microsoft-Token-Claims. Bei der Token-Exchange wird diese Validierung jedoch nicht durchgeführt.
Ein Angreifer mit einem gültigen Microsoft-Token kann diesen via Token-Exchange-Endpoint auswechseln und erhält einen Zugriffs-Token für die Keycloak-Realm, unabhängig von der ursprünglichen Tenant-Zugehörigkeit. Dies ermöglicht unauthorized Zugriff auf geschützte Ressourcen.
Angriffsvektor: Network (keine physische oder lokale Präsenz erforderlich)
CVSS 6.8: Mittlerer Schweregrad mit erheblichen Auswirkungen auf Vertraulichkeit und Integrität
Empfohlene Massnahmen
- Token-Exchange-Feature deaktivieren, falls nicht zwingend erforderlich
- Zusätzliche Validierung der Organization-Claims implementieren
- Token-Lebenszyklen minimieren und regelmäßige Rotationen durchführen
- Monitoring und Logging für Token-Exchange-Aktivitäten verschärfen
- Auf verfĂĽgbare Security-Patches warten und zeitnah deployen
- Access-Token-Scope-Restrictions ĂĽberprĂĽfen
Bewertung
Diese Schwachstelle stellt ein signifikantes Risiko dar, da sie Authentifizierungsmechanismen gefährdet. Der Lack an verfügbarem Patch erfordert sofortige Mitigation durch Konfigurationsanpassungen. Unternehmen sollten die Token-Exchange-Nutzung kritisch überprüfen und alternative Authentifizierungsmethoden evaluieren.
„`