JVNDB-2026-027147

レッドハットのbuild of keycloakにおける入力確認に関する脆弱性

Keycloakのidentity and access managementサービスを提供するkeycloak-servicesコンポーネントに脆弱性が見つかりました。この問題は、レルム管理者がクライアントの登録や更新を許可するホストを制限するためにワイルドカードドメイン（例：*.example.com）を使用した場合に発生します。不適切な検証のため、システムは指定されたドメイン接尾辞で終わる任意のホスト名を、正当なサブドメインでなくても受け入れてしまいます。攻撃者が接続の逆引きDNSを制御できる場合、これらのホストベースの制限を回避して、不正なクライアントの変更を許可できる可能性があります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2508292  (CVE-2026-18206) CVE-2026-18206 keycloak-services: keycloak-services: Client policy source-host wildcard domain matching bypass
• Red Hat Customer Portal : CVE-2026-18206 - Red Hat Customer Portal

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-18206

1. National Vulnerability Database (NVD) : CVE-2026-18206

• [2026年08月10日]
    掲載