🟡 CVE-2026-18573: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2026-18573 beschreibt eine Sicherheitslücke mittleren Schweregrads (CVSS 6.5) in der keycloak-services Komponente von Keycloak. Die Schwachstelle ermöglicht es Angreifern mit Client-Verwaltungsberechtigungen, Realm-Administrator-Richtlinien für Client-Authentifizierungsanforderungen zu umgehen. Durch einen Policy-Bypass-Mechanismus können Clients mit schwacher Authentifizierung persistent etabliert werden, ohne den geltenden Sicherheitsrichtlinien zu entsprechen.

Betroffene Systeme

Die Schwachstelle betrifft verschiedene Installationen von Keycloak, insbesondere solche, auf denen Realm-Administratoren Client-Policies zur Erzwingung spezifischer Authentifizierungsanforderungen konfiguriert haben. Das Risiko ist besonders erhöht in Multi-Tenant-Umgebungen mit delegierten Client-Management-Berechtigungen.

Technische Details

Der Angriffsablauf erfolgt in zwei Schritten: Ein angreifer mit Client-Management-Permissions erstellt zunächst einen öffentlichen Client (Public Client), der nicht an die strikten Authentifizierungsrichtlinien gebunden ist. Anschließend aktualisiert er diesen Client zu einem vertraulichen Client (Confidential Client) mit reduzierten Sicherheitsanforderungen. Das System validiert die Richtlinien bei dieser Update-Operation nicht ordnungsgemäß, wodurch der ursprüngliche Sicherheitskontext ignoriert wird.

Das Problem liegt in der unzureichenden Zustandsüberprüfung (State Evaluation) während der Client-Update-Prozesse. Die keycloak-services Komponente führt Policy-Validierungen nicht konsistent durch, wenn ein Client zwischen den Typen migriert.

Empfohlene Massnahmen

• Implementierung zusätzlicher Validierungsmechanismen für Client-Typ-Übergänge
• Audit-Logging für alle Client-Konfigurationsänderungen aktivieren
• Beschränkung der Client-Management-Berechtigungen auf vertrauenswürdige Administratoren
• Regelmäßige Überprüfung bestehender Client-Konfigurationen auf Compliance
• Abwarten eines offiziellen Security-Patches von Keycloak

Bewertung

CVSS Score: 6.5 (Medium)
Angriffsvektor: Network (Netzwerk-basiert)
Patch-Status: Nicht verfügbar
Das Fehlen eines verfügbaren Patches unterstreicht die Notwendigkeit proaktiver Mitigationsmaßnahmen bis zur Verfügbarkeit eines Security-Updates.

„`