JVNDB-2026-027151

レッドハットのbuild of keycloakにおける認証の欠如に関する脆弱性

KeycloakのRoleContainerResourceコンポーネントに脆弱性が発見されました。この問題は、管理REST APIの一部の名前ベースのエンドポイントが、複合ロールを管理する際に適切な認可チェックを行っていないことに起因します。これにより、manage-realm権限を持つ委任管理者が組み込みの管理者ロールから重要な子ロールを削除できてしまい、その結果、レルム内の管理機能が妨げられる可能性があります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2501738  (CVE-2026-16105) CVE-2026-16105 keycloak-services: keycloak-services: Missing per-role authorization on RoleContainerResource composite endpoints
• Red Hat Customer Portal : CVE-2026-16105 - Red Hat Customer Portal

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-16105

1. National Vulnerability Database (NVD) : CVE-2026-16105

• [2026年08月10日]
    掲載