The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:3884 advisory.

    Red Hat Single Sign-On 7.6 is a standalone server, based on the Keycloak project, that provides     authentication and standards-based single sign-on capabilities for web and mobile applications.

    This release of Red Hat Single Sign-On 7.6.4 on RHEL 8 serves as a replacement for Red Hat Single Sign-On     7.6.3, and includes bug fixes and enhancements, which are documented in the Release Notes document linked     to in the References.

    Security Fix(es):

    * keycloak: Cross-site scripting when validating URI-schemes on SAML and OIDC (CVE-2022-4361)

    * undertow: Infinite loop in SslConduit during close (CVE-2023-1108)

    * keycloak: oauth client impersonation (CVE-2023-2422)

    * keycloak: Untrusted Certificate Validation (CVE-2023-1664)

    * keycloak: client access via device auth request spoof (CVE-2023-2585)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:3883 advisory.

    Red Hat Single Sign-On 7.6 is a standalone server, based on the Keycloak project, that provides     authentication and standards-based single sign-on capabilities for web and mobile applications.

    This release of Red Hat Single Sign-On 7.6.4 on RHEL 7 serves as a replacement for Red Hat Single Sign-On     7.6.3, and includes bug fixes and enhancements, which are documented in the Release Notes document linked     to in the References.

    Security Fix(es):

    * keycloak: Cross-site scripting when validating URI-schemes on SAML and OIDC (CVE-2022-4361)

    * undertow: Infinite loop in SslConduit during close (CVE-2023-1108)

    * keycloak: oauth client impersonation (CVE-2023-2422)

    * keycloak: Untrusted Certificate Validation (CVE-2023-1664)

    * keycloak: client access via device auth request spoof (CVE-2023-2585)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 3885 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Keycloak に欠陥が見つかりました。この欠陥は、デフォルト以外の設定でクライアント証明書の検証が有効化されており、リバースプロキシが Keycloak の前に証明書を検証しない場合に影響を及ぼします。この方法を使用すると、攻撃者はサーバーによって検証される証明書を選択する可能性があります。これが発生し、KC_SPI_TRUSTSTORE_FILE_FILE 変数が欠落 / 不適切に設定されている場合、クライアント証明書の信頼を検証できないというログ情報が記録されたまま、任意のトラストファイルが受け入れられる可能性があります。トラストストアは利用できません。攻撃者はサーバーにアクセスできないため、これは可用性に影響しないかもしれませんが、コンシューマアプリケーションにアクセスできる場合を考慮すると、整合性や機密性に影響を与える可能性があります。環境がクライアント証明書の検証を使用するよう正しく設定されている場合、この欠陥は回避できます。
    (CVE-2023-1664)

  - オープンソースの ID およびアクセス管理ソリューションである Keycloak には、SAML または OIDC プロバイダーにクロスサイトスクリプティング (XSS) の脆弱性があります。この脆弱性により、攻撃者は、AssertionConsumerServiceURL の値または redirect_uri を設定することで、悪意のあるスクリプトを実行する可能性があります。(CVE-2022-4361)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:3885 advisory.

    Red Hat Single Sign-On 7.6 is a standalone server, based on the Keycloak project, that provides     authentication and standards-based single sign-on capabilities for web and mobile applications.

    This release of Red Hat Single Sign-On 7.6.4 on RHEL 9 serves as a replacement for Red Hat Single Sign-On     7.6.3, and includes bug fixes and enhancements, which are documented in the Release Notes document linked     to in the References.

    Security Fix(es):

    * keycloak: Cross-site scripting when validating URI-schemes on SAML and OIDC (CVE-2022-4361)

    * undertow: Infinite loop in SslConduit during close (CVE-2023-1108)

    * keycloak: oauth client impersonation (CVE-2023-2422)

    * keycloak: Untrusted Certificate Validation (CVE-2023-1664)

    * keycloak: client access via device auth request spoof (CVE-2023-2585)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 3884 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Keycloak に欠陥が見つかりました。この欠陥は、デフォルト以外の設定でクライアント証明書の検証が有効化されており、リバースプロキシが Keycloak の前に証明書を検証しない場合に影響を及ぼします。この方法を使用すると、攻撃者はサーバーによって検証される証明書を選択する可能性があります。これが発生し、KC_SPI_TRUSTSTORE_FILE_FILE 変数が欠落 / 不適切に設定されている場合、クライアント証明書の信頼を検証できないというログ情報が記録されたまま、任意のトラストファイルが受け入れられる可能性があります。トラストストアは利用できません。攻撃者はサーバーにアクセスできないため、これは可用性に影響しないかもしれませんが、コンシューマアプリケーションにアクセスできる場合を考慮すると、整合性や機密性に影響を与える可能性があります。環境がクライアント証明書の検証を使用するよう正しく設定されている場合、この欠陥は回避できます。
    (CVE-2023-1664)

  - オープンソースの ID およびアクセス管理ソリューションである Keycloak には、SAML または OIDC プロバイダーにクロスサイトスクリプティング (XSS) の脆弱性があります。この脆弱性により、攻撃者は、AssertionConsumerServiceURL の値または redirect_uri を設定することで、悪意のあるスクリプトを実行する可能性があります。(CVE-2022-4361)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2023: 3883 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Keycloak に欠陥が見つかりました。この欠陥は、デフォルト以外の設定でクライアント証明書の検証が有効化されており、リバースプロキシが Keycloak の前に証明書を検証しない場合に影響を及ぼします。この方法を使用すると、攻撃者はサーバーによって検証される証明書を選択する可能性があります。これが発生し、KC_SPI_TRUSTSTORE_FILE_FILE 変数が欠落 / 不適切に設定されている場合、クライアント証明書の信頼を検証できないというログ情報が記録されたまま、任意のトラストファイルが受け入れられる可能性があります。トラストストアは利用できません。攻撃者はサーバーにアクセスできないため、これは可用性に影響しないかもしれませんが、コンシューマアプリケーションにアクセスできる場合を考慮すると、整合性や機密性に影響を与える可能性があります。環境がクライアント証明書の検証を使用するよう正しく設定されている場合、この欠陥は回避できます。
    (CVE-2023-1664)

  - オープンソースの ID およびアクセス管理ソリューションである Keycloak には、SAML または OIDC プロバイダーにクロスサイトスクリプティング (XSS) の脆弱性があります。この脆弱性により、攻撃者は、AssertionConsumerServiceURL の値または redirect_uri を設定することで、悪意のあるスクリプトを実行する可能性があります。(CVE-2022-4361)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2023: 3883 公告中提及的多個弱點影響。

  - 在 Keycloak 中發現一個瑕疵。此瑕疵依賴於要啟用的非預設組態「重新驗證用戶端憑證」，且反向代理伺服器並未在 Keycloak 之前驗證憑證。使用此方法，攻擊者可能會選擇將由伺服器驗證的憑證。如果發生此情況，且 KC_SPI_TRUSTSTORE_FILE_FILE 變數遺失/錯誤設定，則可能接受任何具有無法驗證用戶端憑證信任記錄資訊的信任檔案：信任庫不可用。這可能不會影響可用性，因為攻擊者沒有伺服器的存取權，但考慮到可能的存取權，使用者應用程式的完整性或機密性可能會受到影響。考慮到環境已正確設定為使用「重新驗證用戶端憑證」，此瑕疵是可以避免的。
    (CVE-2023-1664)

  - Keycloak 是開放原始碼身分和存取管理解決方案，其 SAML 或 OIDC 提供者中存在跨網站指令碼 (XSS) 弱點。攻擊者可利用此弱點，透過設定 AssertionConsumerServiceURL 值或 redirect_uri 來執行惡意指令碼。(CVE-2022-4361)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2023: 3884 公告。

  - 在 Keycloak 中發現一個瑕疵。此瑕疵依賴於要啟用的非預設組態「重新驗證用戶端憑證」，且反向代理伺服器並未在 Keycloak 之前驗證憑證。使用此方法，攻擊者可能會選擇將由伺服器驗證的憑證。如果發生此情況，且 KC_SPI_TRUSTSTORE_FILE_FILE 變數遺失/錯誤設定，則可能接受任何具有無法驗證用戶端憑證信任記錄資訊的信任檔案：信任庫不可用。這可能不會影響可用性，因為攻擊者沒有伺服器的存取權，但考慮到可能的存取權，使用者應用程式的完整性或機密性可能會受到影響。考慮到環境已正確設定為使用「重新驗證用戶端憑證」，此瑕疵是可以避免的。
    (CVE-2023-1664)

  - Keycloak 是開放原始碼身分和存取管理解決方案，其 SAML 或 OIDC 提供者中存在跨網站指令碼 (XSS) 弱點。攻擊者可利用此弱點，透過設定 AssertionConsumerServiceURL 值或 redirect_uri 來執行惡意指令碼。(CVE-2022-4361)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2023: 3883 公告中提及的多个漏洞影响。

  - 在 Keycloak 中发现一个缺陷。此缺陷取决于要启用的非默认配置“重新验证客户端证书”，并且反向代理未在 Keycloak 之前验证该证书。使用此方法，攻击者可以选择会由服务器验证的证书。如果发生这种情况，并且 KC_SPI_TRUSTSTORE_FILE_FILE 变量缺失/错误配置，则包含“无法验证客户端证书是否可信”记录信息的 trustfile 可能会被接受：Truststore 不可用。这可能不会影响可用性，因为攻击者可能没有服务器的访问权限；如果攻击者可能有访问权限，使用者应用程序的完整性或机密性可能会受到影响。考虑到环境已正确设置为使用“重新验证客户端证书”，此缺陷则可以避免。
    (CVE-2023-1664)

  - Keycloak 是一款开源身份和访问管理解决方案，其 SAML 或 OIDC 提供程序中存在跨站脚本 (XSS) 漏洞。攻击者可利用此漏洞，通过设置 AssertionConsumerServiceURL 值或 redirect_uri 来执行恶意脚本。(CVE-2022-4361)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023: 3884 公告中提及的多个漏洞影响。

  - 在 Keycloak 中发现一个缺陷。此缺陷取决于要启用的非默认配置“重新验证客户端证书”，并且反向代理未在 Keycloak 之前验证该证书。使用此方法，攻击者可以选择会由服务器验证的证书。如果发生这种情况，并且 KC_SPI_TRUSTSTORE_FILE_FILE 变量缺失/错误配置，则包含“无法验证客户端证书是否可信”记录信息的 trustfile 可能会被接受：Truststore 不可用。这可能不会影响可用性，因为攻击者可能没有服务器的访问权限；如果攻击者可能有访问权限，使用者应用程序的完整性或机密性可能会受到影响。考虑到环境已正确设置为使用“重新验证客户端证书”，此缺陷则可以避免。
    (CVE-2023-1664)

  - Keycloak 是一款开源身份和访问管理解决方案，其 SAML 或 OIDC 提供程序中存在跨站脚本 (XSS) 漏洞。攻击者可利用此漏洞，通过设置 AssertionConsumerServiceURL 值或 redirect_uri 来执行恶意脚本。(CVE-2022-4361)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2023: 3885 公告中提及的多个漏洞影响。

  - 在 Keycloak 中发现一个缺陷。此缺陷取决于要启用的非默认配置“重新验证客户端证书”，并且反向代理未在 Keycloak 之前验证该证书。使用此方法，攻击者可以选择会由服务器验证的证书。如果发生这种情况，并且 KC_SPI_TRUSTSTORE_FILE_FILE 变量缺失/错误配置，则包含“无法验证客户端证书是否可信”记录信息的 trustfile 可能会被接受：Truststore 不可用。这可能不会影响可用性，因为攻击者可能没有服务器的访问权限；如果攻击者可能有访问权限，使用者应用程序的完整性或机密性可能会受到影响。考虑到环境已正确设置为使用“重新验证客户端证书”，此缺陷则可以避免。
    (CVE-2023-1664)

  - Keycloak 是一款开源身份和访问管理解决方案，其 SAML 或 OIDC 提供程序中存在跨站脚本 (XSS) 漏洞。攻击者可利用此漏洞，通过设置 AssertionConsumerServiceURL 值或 redirect_uri 来执行恶意脚本。(CVE-2022-4361)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2023: 3885 公告。

  - 在 Keycloak 中發現一個瑕疵。此瑕疵依賴於要啟用的非預設組態「重新驗證用戶端憑證」，且反向代理伺服器並未在 Keycloak 之前驗證憑證。使用此方法，攻擊者可能會選擇將由伺服器驗證的憑證。如果發生此情況，且 KC_SPI_TRUSTSTORE_FILE_FILE 變數遺失/錯誤設定，則可能接受任何具有無法驗證用戶端憑證信任記錄資訊的信任檔案：信任庫不可用。這可能不會影響可用性，因為攻擊者沒有伺服器的存取權，但考慮到可能的存取權，使用者應用程式的完整性或機密性可能會受到影響。考慮到環境已正確設定為使用「重新驗證用戶端憑證」，此瑕疵是可以避免的。
    (CVE-2023-1664)

  - Keycloak 是開放原始碼身分和存取管理解決方案，其 SAML 或 OIDC 提供者中存在跨網站指令碼 (XSS) 弱點。攻擊者可利用此弱點，透過設定 AssertionConsumerServiceURL 值或 redirect_uri 來執行惡意指令碼。(CVE-2022-4361)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
177672	RHEL 8 : Red Hat Single Sign-On 7.6.4 security update on RHEL 8 (Important) (RHSA-2023:3884)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177671	RHEL 7 : Red Hat Single Sign-On 7.6.4 security update on RHEL 7 (Important) (RHSA-2023:3883)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177670	RHEL 9: RHEL 9 用 Red Hat Single Sign-On 7.6.4 のセキュリティ更新 (重要度高) (RHSA-2023: 3885)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177670	RHEL 9 : Red Hat Single Sign-On 7.6.4 security update on RHEL 9 (Important) (RHSA-2023:3885)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177672	RHEL 8: RHEL 8 用 Red Hat Single Sign-On 7.6.4 のセキュリティ更新 (重要度高) (RHSA-2023: 3884)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177671	RHEL 7: RHEL 7 用 Red Hat Single Sign-On 7.6.4 のセキュリティ更新 (重要度高) (RHSA-2023: 3883)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177671	RHEL 7：RHEL 7 上的 Red Hat Single Sign-On 7.6.4 安全性更新 (重要) (RHSA-2023: 3883)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177672	RHEL 8：RHEL 8 上的 Red Hat Single Sign-On 7.6.4 版安全性更新 (重要) (RHSA-2023: 3884)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177671	RHEL 7：RHEL 7 上的 Red Hat Single Sign-On 7.6.4 安全更新（重要） (RHSA-2023: 3883)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177672	RHEL 8：RHEL 8 上的 Red Hat Single Sign-On 7.6.4 安全更新（重要） (RHSA-2023: 3884)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177670	RHEL 9：RHEL 9 上的 Red Hat Single Sign-On 7.6.4 安全更新（重要） (RHSA-2023: 3885)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high
177670	RHEL 9：RHEL 9 上的 Red Hat Single Sign-On 7.6.4 版安全性更新 (重要) (RHSA-2023: 3885)	Nessus	Red Hat Local Security Checks	2023/6/27	2024/11/7	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high