Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Red Hat Keycloak (CVE-2016-8629)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-284 Control de acceso incorrecto
Fecha de publicación:
12/03/2018
Última modificación:
17/06/2026

Descripción

Red Hat Keycloak, en versiones anteriores a la 2.4.0, no comprobaba correctamente los permisos al gestionar peticiones de eliminación de usuario de cuenta de servicio enviadas al servidor REST. Un atacante con autenticación de cuenta de servicio podría aprovechar este fallo para omitir permisos normales y eliminar usuarios en un realm separado.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:* 2.4.0 (excluyendo)
cpe:2.3:a:redhat:single_sign_on:7.1:*:*:*:*:*:*:*
cpe:2.3:a:redhat:single_sign_on:7.2:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:7.0:*:*:*:*:*:*:*