JVNDB-2026-027139

レッドハットのbuild of keycloakにおける不正な認証に関する脆弱性

Keycloakは管理者が時間ポリシーに基づいてリソースへのアクセスを制限できる認可サービスを提供しています（例えば、営業時間内のみアクセスを許可するといった機能です）。しかし、ユーザーが認可要求に偽の時間値を含めて実際のサーバー時間を上書きできるという脆弱性が発見されました。これにより、ユーザーは時間ベースの制限を回避し、許可されていない時間帯に保護されたリソースへアクセスできるようになります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2509763  (CVE-2026-18572) CVE-2026-18572 keycloak-services: keycloak-services: UMA claim token can override authorization time-policy evaluation attributes
• Red Hat Customer Portal : CVE-2026-18572 - Red Hat Customer Portal

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-18572

1. National Vulnerability Database (NVD) : CVE-2026-18572

• [2026年08月10日]
    掲載