Keycloak vulnerable to infinite loop based Denial of Service

CAO 7.5CVE-2017-2646 · GHSA-jc6q-27mw-p55w · Công bố 27/07/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2017-2646 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng org.keycloak:keycloak-core, keycloak (redhat).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.8%, cao hơn 78.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.5.5 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.keycloak:keycloak-core Maven	`< 2.5.5`	`2.5.5`
keycloak redhat	`< 2.5.5`	`2.5.5`

Mô tả

When Keycloak versions prior to 2.5.5 receive a Logout request with an Extensions in the middle of the request, the SAMLSloRequestParser.parse() method ends in an infinite loop. An attacker could use this flaw to conduct denial of service attacks.

Mô tả của NVD

It was found that when Keycloak before 2.5.5 receives a Logout request with a Extensions in the middle of the request, the SAMLSloRequestParser.parse() method ends in a infinite loop. An attacker could use this flaw to conduct denial of service attacks.