„`html
Zusammenfassung
CVE-2026-18571 beschreibt eine Schwachstelle in der Benutzerverwaltungskomponente von Keycloak. Die Lücke tritt auf, wenn Fine-Grained Admin Permissions V2 (FGAP V2) aktiviert ist. Sie ermöglicht Sub-Administratoren mit Benutzererststellungsrechten, neu angelegte Benutzer in beliebige Gruppen einzufügen – auch in solche, für die sie selbst keine Managementberechtigung besitzen. Dies führt zu potenzieller Privilegienerhöhung und unbefugtem Zugriff auf sensitive Daten.
Betroffene Systeme
Die Schwachstelle betrifft Keycloak-Installationen mit aktiviertem FGAP V2-Modul. Besonders kritisch sind Umgebungen mit delegierten Administratorrechten, bei denen Sub-Administratoren für spezifische Bereiche zuständig sind. Das Risiko ist erhöht in Multi-Tenant-Szenarien und Organisationen mit komplexen Zugriffshierarchien.
Technische Details
Die Schwachstelle liegt in der Validierungslogik der Group-Assignment-Funktionalität. Bei der Benutzererstellung prüft das System nicht korrekt, ob der Sub-Administrator die Berechtigung für die Zielgruppe besitzt. Angreifer können dies ausnutzen, indem sie neue Benutzer anlegen und diese automatisch in privilegierte Gruppen integrieren, deren Verwaltung ihnen nicht zugewiesen ist. Der Angriffsvektor ist netzwerk-basiert und erfordert valide Admin-Credentials mit Benutzererstellungsrecht.
Empfohlene Massnahmen
Sofortmassnahmen: Überprüfen Sie Ihre Keycloak-Konfiguration auf aktivierte FGAP V2. Deaktivieren Sie FGAP V2 temporär, falls möglich. Auditlogs sollten auf verdächtige Benutzer-zu-Gruppen-Zuweisungen untersucht werden.
Langfristig: Implementieren Sie zusätzliche Zugriffskontrollmechanismen. Aktivieren Sie erweiterte Logging- und Monitoring-Funktionen. Begrenzen Sie Sub-Administrator-Rechte auf notwendige Gruppen. Warten Sie auf offizielle Patches und implementieren diese zeitnah.
Bewertung
Mit einem CVSS-Score von 6.6 (Medium) stellt diese Schwachstelle ein moderates Risiko dar. Sie erfordert authentifizierte Angreifer, bietet aber signifikanten Schadenspotenzial durch Privilegienerhöhung. Die Fehlende Patchverfügbarkeit erhöht die Dringlichkeit präventiver Massnahmen.
„`