Keycloak's unvalidated cross-origin messages in checkLoginIframe leads to DDoS

CAO 7.4CVE-2024-1249 · GHSA-m6q9-p373-g5q8 · Công bố 17/04/2024 · cập nhật 27/10/2026

Tóm tắt nhanh

CVE-2024-1249 là lỗ hổng mức CAO (CVSS 7.4) ảnh hưởng org.keycloak:keycloak-services.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.45%, cao hơn 39.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 24.0.3, 22.0.10 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.keycloak:keycloak-services Maven	`≥ 23.0.0, < 24.0.3< 22.0.10`	`24.0.322.0.10`

Mô tả

A potential security flaw in the "checkLoginIframe" which allows unvalidated cross-origin messages, enabling potential DDoS attacks. By exploiting this vulnerability, attackers could coordinate to send millions of requests in seconds using simple code, significantly impacting the application's availability without proper origin validation for incoming messages.

Acknowledgements

Special thanks to Adriano Márcio Monteiro from BRZTEC for reporting this issue and helping us improve our project.

Mô tả của NVD

A flaw was found in Keycloak's OIDC component in the "checkLoginIframe," which allows unvalidated cross-origin messages. This flaw allows attackers to coordinate and send millions of requests in seconds using simple code, significantly impacting the application's availability without proper origin validation for incoming messages.