Vulnerabilidad en Keycloak (CVE-2024-10451)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-798 Credenciales embebidas en el software

Fecha de publicación:

25/11/2024

Última modificación:

25/11/2024

Descripción

Se encontró una falla en Keycloak. Este problema ocurre porque los valores de tiempo de ejecución confidenciales, como las contraseñas, pueden capturarse durante el proceso de compilación de Keycloak e incorporarse como valores predeterminados en el código de bytes, lo que genera una divulgación de información no deseada. En Keycloak 26, los datos confidenciales especificados directamente en las variables de entorno durante el proceso de compilación también se almacenan como valores predeterminados, lo que los hace accesibles durante el tiempo de ejecución. El uso indirecto de las variables de entorno para las opciones de SPI y las propiedades de Quarkus también es vulnerable debido a la expansión incondicional por parte de la lógica de PropertyMapper, que captura datos confidenciales como valores predeterminados en todas las versiones de Keycloak hasta la 26.0.2.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.90

Gravedad 3.x

MEDIA

Vulnerabilidad en Keycloak (CVE-2024-10451)

Descripción

Impacto

Referencias a soluciones, herramientas e información