- Son 7 gün
- CWE-362
CVE-2026-103112
Keycloak-services: kimlik doğrulama yarışı nedeniyle hesap ele geçirme (reset-credentials akışı)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- redhat
Yönetici özeti
Bu açık, kimlik yönetimi sisteminizde bir saldırganın başka kullanıcıların hesaplarını tamamen ele geçirmesine olanak tanıyabilir. Oturum açan müşteri ya da çalışan hesaplarının kontrolünün kaybedilmesi veri kaybı, itibar zedelenmesi ve yasal sorumluluk riski doğurabilir. Bu nedenle yama ve güncellemelerin öncelikli olarak uygulanması önerilir.
ÖzetTürkçe
Keycloak'taki keycloak-services bileşeninde, kimlik doğrulama oturumu yönetiminde bir kusur tespit edilmiştir. Sistem, standart kimlik doğrulama yolu ile kimlik bilgisi sıfırlama (reset-credentials) yolu arasında geçiş yapılırken, kimlik doğrulayıcının mevcut akış için geçerli olup olmadığını doğrulamamaktadır. Kimlik doğrulaması yapılmış bir saldırgan, kimlik bilgisi sıfırlama sürecinde bir yarış koşulu tetikleyerek kendi başarılı kimlik doğrulama durumunu başka bir kullanıcının oturumuna bağlayabilir. Bu bbilgi, Red Hat Build of Keycloak ve Red Hat Single Sign-On 7 kullanan kuruluşları etkilemektedir.
Saldırgan ne yapabilir?
Saldırgan, hedef kullanıcının hesabına tam erişim sağlayabilir ve parolasını değiştirebilir. Bu durum, hesabın tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A flaw was found in the authentication session handling of the keycloak-services component in Keycloak. The issue occurs because the system fails to verify if an authenticator is valid for the current authentication flow when switching between the standard authentication path and the reset credentials path. An authenticated attacker can exploit this by triggering a race condition during the credential reset process to associate their successful authentication state with another user's session. This can result in the attacker gaining full access to the victim's account and changing their password.
Ne yapmalı?
- Red Hat Build of Keycloak ve Red Hat Single Sign-On 7 için Red Hat tarafından yayımlanan güvenlik güncellemelerini ve düzeltilmiş sürümleri uygulayın. Ayrıntılar için Red Hat güvenlik duyurusuna başvurun. Genel öneri
- Güncelleme uygulanamadığı durumda, kimlik bilgisi sıfırlama akışını geçici olarak kısıtlamayı ve bu akışa erişimi yalnızca güvenilir ağlarla sınırlandırmayı değerlendirin. Genel öneri
- Güncelleme sonrasında hesap parolası değişikliklerini ve oturum etkinliklerini inceleyerek olağandışı bir durum olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Yönetici ve yüksek yetkili hesaplar için çok faktörlü kimlik doğrulamayı zorunlu kılın. Genel öneri
- Parola sıfırlama ve oturum açma olaylarını izleyin ve beklenmeyen eşzamanlı istekleri veya olağandışı hesap değişikliklerini uyarı olarak yapılandırın. Genel öneri
- Etkilenen hesaplar için aktif oturumları sonlandırmayı ve gerekirse kullanıcıların parolalarını yenilemesini sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Build of Keycloak | Sürüm belirtilmemiş | – |
| Red Hat Single Sign-On 7 | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.