JVNDB-2026-027807

レッドハットのbuild of keycloakにおける入力の一貫性の検証に関する脆弱性

org.keycloak.broker.oidcパッケージにおいて、OIDCブローカーがemail_verifiedクレームを誤って同期してしまう脆弱性が存在します。OIDCアイデンティティプロバイダーがtrustEmail=trueに設定され、userinfoエンドポイントが有効になっている場合、Keycloakはuserinfoレスポンスからメールアドレスを取得しますが、email_verifiedの状態はid_tokenからのみ取得します。根本的な原因は、id_token内のemail_verifiedクレームが実際にuserinfoエンドポイントから返されるメールアドレスに対応しているかを検証していないことにあります。これら二つの情報源が異なるメールアドレスを返した場合、id_tokenのemail_verified=trueクレームがuserinfoのメールアドレスに対して無条件に適用されてしまいます。悪用条件は、OIDCアイデンティティプロバイダーのtrustEmailがtrue（デフォルトではない）に設定されていること、userinfoエンドポイントが有効であること（デフォルト設定）、および攻撃者が上流のOIDCプロバイダーを制御しているか、あるいは侵害していることが挙げられます。具体的な影響としては、任意のメールアドレスをKeycloakのデータベース上で検証済みとしてマークすることが可能であり、メールベースのセキュリティ制御や検証ワークフローを回避できるという問題があります。さらに、アプリケーションがIdPのemail_verifiedフラグのみを用いてアカウントを連携している場合、アカウント乗っ取りのリスクが発生します。

レッドハット

• build of keycloak

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2497118  (CVE-2026-14781) CVE-2026-14781 keycloak-services: keycloak-services: OIDC email_verified claim incorrectly applied to userinfo email
• Red Hat Customer Portal : CVE-2026-14781 - Red Hat Customer Portal

1. 入力の一貫性の不適切な検証(CWE-1288) [その他]

1. CVE-2026-14781

1. National Vulnerability Database (NVD) : CVE-2026-14781

• [2026年08月12日]
    掲載