JVNDB-2026-018108

レッドハットのbuild of keycloakにおけるデジタル署名の検証に関する脆弱性

Keycloakに脆弱性が発見されました。JSON Web Encryption（JWE）で暗号化されたリクエストオブジェクトが送信された場合、復号された内容が生のJSONであると、Keycloakは署名されていないクレームを誤って処理する可能性があり、設定された署名ポリシーを回避してしまいます。これにより、リモート攻撃者が不正なクレームを送信でき、OpenID Connect（OIDC）認可フロー内のデータ整合性が侵害される恐れがあります。リダイレクトURIの許可リストは補完的な対策として機能しますが、この脆弱性はOIDC CoreおよびFinancial-grade API（FAPI）の署名要件に違反します。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2482460  (CVE-2026-9793) CVE-2026-9793 keycloak: Keycloak: Security policy bypass in JWE-encrypted request object processing
• Red Hat Customer Portal : CVE-2026-9793 - Red Hat Customer Portal

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-9793

1. National Vulnerability Database (NVD) : CVE-2026-9793

• [2026年06月05日]
    掲載