Keycloak vulnerable to Improper Client Certificate Validation for OAuth/OpenID clients

CAO 7.1CVE-2023-2422 · GHSA-3qh5-qqj2-c78f · Công bố 04/10/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-2422 là lỗ hổng mức CAO (CVSS 7.1) ảnh hưởng org.keycloak:keycloak-services, openshift container platform (redhat), single sign-on (redhat).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.52%, cao hơn 44.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 21.1.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.keycloak:keycloak-services Maven	`< 21.1.2`	`21.1.2`
openshift container platform redhat	`= 4.10= 4.11= 4.12= 4.9`	Chưa có bản vá
single sign-on redhat	`= 7.6`	Chưa có bản vá

Mô tả

When a Keycloak server is configured to support mTLS authentication for OAuth/OpenID clients, it does not properly verify the client certificate chain. A client that possesses a proper certificate can authorize itself as any other client and therefore access data that belongs to other clients.

Mô tả của NVD

A flaw was found in Keycloak. A Keycloak server configured to support mTLS authentication for OAuth/OpenID clients does not properly verify the client certificate chain. A client that possesses a proper certificate can authorize itself as any other client, therefore, access data that belongs to other clients.