JVNDB-2026-022110

レッドハットのbuild of keycloakにおける不適切な権限設定に関する脆弱性

KeycloakのIdentity Provider（IdP）マッパーコンポーネントに脆弱性が発見されました。このコンポーネントは外部サービスからのユーザー情報をKeycloakユーザーにマッピングする方法を管理するために使用されます。制限された権限を持つ管理者がこの脆弱性を悪用すると、「ハードコードされたロール」マッパーを作成し、自分自身や他者に高レベルの管理者ロール（例: realm-admin）を割り当てることが可能になります。これにより、制限された管理者がセキュリティチェックを回避し、レルム全体を完全に制御できるようになります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2489140  (CVE-2026-12388) CVE-2026-12388 keycloak-broker: Keycloak: Privilege escalation to realm administrator via improper authorization in identity provider mapper
• Red Hat Customer Portal : CVE-2026-12388 - Red Hat Customer Portal

1. 不適切な権限設定(CWE-266) [その他]

1. CVE-2026-12388

1. National Vulnerability Database (NVD) : CVE-2026-12388

• [2026年07月03日]
    掲載