V systému Keycloak byla odhalena kritická chyba v procesu obnovy zapomenutého hesla. Zranitelnost označená jako CVE-2026-18963 umožňuje neautentizovanému útočníkovi vynutit reset hesla u libovolného uživatelského účtu, aniž by musel otevřít ověřovací odkaz doručený do e-mailové schránky oběti.
Útočník může obejít ověření e-mailu
Standardní proces obnovy hesla má fungovat jako dvoufázová ochrana. Uživatel nejprve požádá o změnu hesla a Keycloak odešle jednorázový odkaz na registrovanou e-mailovou adresu. Teprve po otevření tohoto odkazu by mělo být možné nastavit nové přihlašovací údaje. Právě tento krok však zranitelnost obchází.
Chyba se nachází v komponentě keycloak-services, která zajišťuje hlavní autentizační procesy platformy. Kvůli nesprávnému ověřování stavu resetovacího procesu může útočník pokračovat přímo k části, kde se nastavuje nové heslo. Pokud zná uživatelské jméno nebo e-mailovou adresu účtu, může se pokusit převzít jeho kontrolu bez předchozího přihlášení a bez jakékoli spolupráce oběti.
Závažnost chyby byla stanovena na CVSS 9,1 z 10. Dopad může být obzvlášť vážný u účtů s administrátorskými oprávněními, protože Keycloak často slouží jako centrální poskytovatel identity pro více interních i zákaznických aplikací. Úspěšný útok proto nemusí ohrozit pouze jeden účet, ale také všechny služby, ke kterým tento účet poskytuje přístup.
Doporučená ochrana
Opravy byly vydány pro podporované větve Keycloaku. Aktualizace jsou dostupné například ve verzích 26.4.15, 26.6.6 a 26.7.2. Organizace by měly ověřit používanou verzi, provést aktualizaci a následně zkontrolovat záznamy o změnách hesel. Zvláštní pozornost je vhodné věnovat resetům, které nebyly předcházeny běžným požadavkem uživatele.
Pokud okamžitá aktualizace není možná, lze dočasně vypnout funkci „Zapomenuté heslo“ ve všech dotčených realmech. Toto opatření však pouze odstraní útočnou cestu a současně znemožní legitimní obnovu hesla. Představuje proto jen přechodné řešení.
Red Hat označil chybu za kritickou, protože ji lze zneužít na dálku bez přihlašovacích údajů a bez interakce uživatele.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
