JVNDB-2026-022001

レッドハットのbuild of keycloak等の複数製品におけるユーザ制御の鍵による認証回避に関する脆弱性

KeycloakのAdmin UI拡張機能に脆弱性が発見されました。この脆弱性により、特定の管理ユーザーがセキュリティ制限を回避できるようになります。詳細権限管理（Fine-Grained Admin Permissions、FGAPv2）が有効になっている場合、本来ユーザーの検索のみが許可され、詳細情報の閲覧が許可されていない管理者が、特定の「brute-force-user」エンドポイントを利用してユーザーの完全なプロファイルにアクセスできてしまいます。これには機密情報やセキュリティメタデータが含まれています。この問題は、特定の検索パスを使用した際に、その管理者が該当ユーザーに対する「閲覧」権限を持っているかどうかのチェックがシステムで適切に行われていないことが原因となっています。

レッドハット

• build of keycloak
• JBoss Enterprise Application Platform expansion pack

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2494837  (CVE-2026-14209) CVE-2026-14209 keycloak-admin-ui: keycloak-admin-ui: Keycloak: Admin UI extension brute-force-user endpoint bypasses FGAPv2 user view restrictions
• Red Hat Customer Portal : CVE-2026-14209 - Red Hat Customer Portal

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-14209

1. National Vulnerability Database (NVD) : CVE-2026-14209

• [2026年07月03日]
    掲載