JVNDB-2026-027474

レッドハットのbuild of keycloakにおける入力の一貫性の検証に関する脆弱性

Keycloakのkeycloak-servicesコンポーネントに脆弱性が発見されました。このコンポーネントはOpenID Connect（OIDC）認証フローを処理しています。この問題は、HTTPパラメータ汚染を防ぐためのセキュリティチェックがリダイレクトURLのクエリ部分のみを検査し、フラグメント部分を無視しているために発生します。クライアントがワイルドカードのリダイレクトURIで構成されている場合、攻撃者はこれを利用してログイン応答に重複したセキュリティパラメータを注入できます。クライアントアプリケーションが正しく構成されていないと、Keycloakからの正規のセキュリティ情報ではなく、攻撃者が注入したデータを信頼してしまい、セッション固定やアカウントの混同を引き起こす可能性があることが判明しています。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2508305  (CVE-2026-18209) CVE-2026-18209 keycloak-services: keycloak-services: OIDC redirect_uri fragment bypass in HTTP parameter pollution check
• Red Hat Customer Portal : CVE-2026-18209 - Red Hat Customer Portal

1. 入力の一貫性の不適切な検証(CWE-1288) [その他]

1. CVE-2026-18209

1. National Vulnerability Database (NVD) : CVE-2026-18209

• [2026年08月10日]
    掲載