Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Keycloak (CVE-2023-6787)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-287 Autenticación incorrecta
Fecha de publicación:
25/04/2024
Última modificación:
30/06/2025

Descripción

Se encontró una falla en Keycloak que se produce por un error en el mecanismo de reautenticación dentro de org.keycloak.authentication. Esta falla permite secuestrar una sesión activa de Keycloak al activar un nuevo proceso de autenticación con el parámetro de consulta "prompt=login", solicitando al usuario que vuelva a ingresar sus credenciales. Si el usuario cancela esta reautenticación seleccionando "Reiniciar inicio de sesión", puede ocurrir una apropiación de la cuenta, ya que la nueva sesión, con un SUB diferente, poseerá el mismo SID que la sesión anterior.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:redhat:build_of_keycloak:-:*:*:*:text-only:*:*:*
cpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:* 22.0.10 (excluyendo)
cpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:* 23.0.0 (incluyendo) 24.0.3 (excluyendo)