Keycloak 26.0.8 多個弱點 (26_0_8)
medium Nessus Plugin ID 214216
語言:
概要
遠端主機缺少一個或多個安全性更新。說明
遠端主機上安裝的 Keycloak 版本低於 26.0.8，因此會受到 26_0_8 公告中提及的多個弱點影響。- 據發現，Keycloak 中的拒絕服務弱點允許有權變更領域設定的系統管理使用者中斷服務。此動作是透過修改任何安全性標頭並插入新行來完成，這會造成 Keycloak 伺服器寫入已終止的要求，進而導致所述要求失敗。(CVE-2024-11734)
- 在 Keycloak 中發現一個弱點。系統管理員使用者可能必須透過使用者可設定的 URL，存取敏感的伺服器環境變數和系統屬性。設定反向通道登出 URL 或管理 URL 時，系統管理使用者可包含 ${env.VARNAME} 或 ${PROPNAME} 之類的預留位置。在處理 URL 期間，伺服器會以環境變數或系統屬性的實際值取代這些預留位置。(CVE-2024-11736)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Keycloak 26.0.8 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 214216
檔案名稱: keycloak_26_0_8.nasl
版本: 1.3
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/1/15
已更新: 2025/2/21
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: Medium
基本分數: 6.1
時間性分數: 4.5
媒介: CVSS2#AV:N/AC:L/Au:M/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2024-11736
CVSS v3
風險因素: Medium
基本分數: 4.9
時間性分數: 4.3
媒介: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:keycloak:keycloak
必要的 KB 項目: Host/local_checks_enabled, Host/uname, installed_sw/Keycloak
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2025/1/15
弱點發布日期: 2025/1/13
參考資訊
CVE: CVE-2024-11734, CVE-2024-11736
IAVB: 2025-B-0006-S