JVNDB-2026-027146

レッドハットのbuild of keycloakにおける認証の欠如に関する脆弱性

keycloak-servicesコンポーネントのOIDCトークンイントロスペクションエンドポイントに脆弱性が発見されました。Keycloakは、モダンなアプリケーションやサービスのセキュリティを確保するために使用されるオープンソースのアイデンティティおよびアクセス管理ソリューションです。この問題は、署名付きJWTイントロスペクションレスポンスを受け取るように設定された機密クライアントが、異なるオーディエンス向けに発行されたトークンのイントロスペクションを試みた場合に発生します。エンドポイントはそのクライアントに対してトークンを非アクティブとして正しく識別しますが、それでも署名付きJWTフィールド内にトークンクレームの全セットを返してしまいます。これにより、不正なクライアントがオーディエンスベースの制限を回避し、トークンに含まれる機密情報へアクセスできてしまう問題が生じます。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2508304  (CVE-2026-18208) CVE-2026-18208 keycloak-services: keycloak-services: Inactive out-of-audience token introspection leaks signed JWT claim
• Red Hat Customer Portal : CVE-2026-18208 - Red Hat Customer Portal

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-18208

1. National Vulnerability Database (NVD) : CVE-2026-18208

• [2026年08月10日]
    掲載