30秒で判断
- 対応すべき人: Keycloakを利用し、JWT authorization grant のプレビュー機能を有効化している管理者
- 対応不要な人: 当該プレビュー機能を有効にしていない、または 26.5.3 以降を利用中の管理者
- 確認方法: Keycloakのバージョンと、JWT authorization grant（プレビュー）機能の有効化状況を確認
概要
Keycloak に、アクセス制御の不備（CWE-284）が見つかりました。JWT authorization grant のプレビュー機能が有効な環境で、ユーザーアカウントが無効化されている場合でも、その「無効化状態」がJWT authorization grant 処理中に検証されません。
このため、低権限のリモート攻撃者が外部IdPからの有効なアサーショントークンを提示することで、無効化済みユーザー向けのJWTを取得でき、本来アクセスできないリソースへ不正アクセスできる可能性があります。
CVSSベクトル（攻撃条件）
| 項目 | 内容 |
|---|---|
| CVSSスコア | 8.1 (High) |
| 攻撃経路 | ネットワーク経由 |
| 前提 | JWT authorization grant プレビュー機能が有効 |
| 影響 | 無効化済みユーザーとしての不正アクセス |
| 脆弱性種別 | 不適切なアクセス制御 |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Keycloak | Keycloak / Red Hat | 26.5.3 未満（プレビュー機能有効時） |
修正バージョンと回避策
Keycloak 26.5.3 で修正されています。アップデートを推奨します。すぐに更新できない場合は、JWT authorization grant のプレビュー機能を無効化することが緩和策として有効です。
関連リンク
データソース: NVD (NIST), Red Hat, Keycloak AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。