30秒で判断
- 対応すべき人: Keycloak の Policy Enforcer（ポリシー実施ポイント）を使ってリソースを保護している運用者
- 対応不要な人: Keycloak を使用していない、または Policy Enforcer による認可を利用していない場合
- 確認コマンド: 利用中の Keycloak / Red Hat build of Keycloak のバージョンと、RHSA 適用状況を確認
概要
CVE-2026-9800 は、Keycloak の Policy Enforcer に存在する認可バイパスの脆弱性です。認証済みのユーザーであれば、ロール・スコープ・UMA（User-Managed Access）を含むすべての認可ポリシーを回避して保護リソースにアクセスできてしまいます。
具体的には、設定された access-denied ページのパスを、リクエストURLのパスセグメントまたはクエリパラメータとして含めることで、ポリシー判定を迂回できる点が問題です。CVSSスコアは 8.1（High） です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| 攻撃元区分 (AV) | Network |
| 必要権限 (PR) | Low（認証済みユーザー） |
| ユーザー関与 (UI) | None |
| 影響 (C/I) | High |
| CWE | CWE-1025（比較ロジックの誤り） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響範囲 |
|---|---|---|
| Keycloak / Red Hat build of Keycloak | Red Hat | Policy Enforcer 利用構成（RHSA参照） |
修正バージョンと回避策
- 修正: Red Hat から更新（RHSA-2026:30049 ほか）が提供されています。対象製品の RHSA に従ってアップデートしてください。
- 回避策: パッチ適用が困難な場合は、Policy Enforcer 前段のリバースプロキシ等で access-denied パスを含む不正なリクエストパターンを遮断することを検討してください（恒久対応はパッチ適用）。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database, Red Hat Security Advisories AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。