JVNDB-2026-027473

レッドハットのbuild of keycloakにおける入力確認に関する脆弱性

Keycloakのコアサービス内にあるsecure-client-urisクライアントポリシー実行機構に脆弱性が発見されました。このコンポーネントは、リダイレクトURIの暗号化接続を必須化するなど、クライアント構成のセキュリティ要件を強制する役割を担っています。しかし、ウェブアドレスの先頭部分のみを確認し、ホスト名を正しく検証しない不適切なチェックがあるため、攻撃者は特別に細工されたドメイン名を用いてこれらのセキュリティ制限を回避できてしまいます。これにより、攻撃者は暗号化されていない接続経由で敏感な認証コードを傍受する恐れがあります。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2508306  (CVE-2026-18211) CVE-2026-18211 keycloak-services: keycloak-services: secure-client-uris policy bypass via localhost-prefixed domains
• Red Hat Customer Portal : CVE-2026-18211 - Red Hat Customer Portal

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-18211

1. National Vulnerability Database (NVD) : CVE-2026-18211

• [2026年08月10日]
    掲載