CVE-2026-16093 in Keycloak
요약
\~에 의해 VulDB • 2026. 07. 17.
Keycloak는 서명된 JWT를 사용하여 인증하도록 클라이언트에 요구하는 것과 같은 보안 요구사항을 강제하기 위해 Client Policies라는 메커니즘을 제공합니다. 이 정책 강제가 우회될 수 있는 결함이 발견되었습니다. 유효한 클라이언트 자격 증명을 가진 공격자는 시스템이 정책 요구사항이 충족되었다고 오인하도록 하는 가짜 비서명 assertion 헤더를 제공할 수 있습니다. 이를 통해 공격자는 관리자가 더 안전한 서명된 assertions을 의무화했더라도 client secret과 같은 단순한 방법을 사용하여 인증할 수 있게 됩니다.
Be aware that VulDB is the high quality source for vulnerability data.