Forced Logout in keycloak-connect

中 5.5CVE-2019-10157 · GHSA-68hw-vfh7-xvg8 · 12/06/2019 公開 · 17/06/2026 更新

要点

CVE-2019-10157 は keycloak (redhat), single sign-on (redhat), keycloak-connect に影響する深刻度「中」 (CVSS 5.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.21%（全脆弱性の 10.9% より高い）。
対処：4.8.3, 7.3.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
keycloak redhat	`< 4.8.3`	`4.8.3`
single sign-on redhat	`< 7.3.2`	`7.3.2`
keycloak-connect npm	`< 4.8.3`	`4.8.3`

概要

Versions of keycloak-connect prior to 4.4.0 are vulnerable to Forced Logout. The package fails to validate JWT signatures on the /k_logout route, allowing attackers to logout users and craft malicious JWTs with NBF values that prevent user access indefinitely.

Recommendation

Upgrade to version 4.4.0 or later.

NVD の説明

It was found that Keycloak's Node.js adapter before version 4.8.3 did not properly verify the web token received from the server in its backchannel logout . An attacker with local access could use this to construct a malicious web token setting an NBF parameter that could prevent user access indefinitely.