JVNDB-2026-027730

レッドハットのbuild of keycloakにおける認証の欠如に関する脆弱性

Keycloakの認証および認可フローの管理に使用されるkeycloak-servicesコンポーネントに脆弱性が発見されました。この問題は、レルム管理者が機密クライアントに対して特定の認証要件を強制するクライアントポリシーを設定した場合に発生します。更新操作中にクライアントの状態が不適切に評価されるため、クライアント管理権限を持つ攻撃者は、まずパブリッククライアントを作成し、その後認証が弱い機密クライアントに更新することでこれらのセキュリティポリシーを回避できます。これにより、レルムの意図するセキュリティ強化に準拠していないクライアントが存続してしまう可能性が生じます。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2509764  (CVE-2026-18573) CVE-2026-18573 keycloak-services: keycloak-services: Client access-type policy condition bypass during client update
• Red Hat Customer Portal : CVE-2026-18573 - Red Hat Customer Portal

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-18573

1. National Vulnerability Database (NVD) : CVE-2026-18573

• [2026年08月12日]
    掲載