- Son 7 gün
- CWE-94
CVE-2026-120984
Keycloak'ta içe aktarılan JavaScript politikası ile uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- redhat
Yönetici özeti
Bu açık, kimlik ve erişim yönetimi için kullanılan merkezi bir sistemi etkiliyor ve kritik seviyede değerlendiriliyor. Yetkili bir kullanıcı hesabının ele geçirilmesi halinde sunucunun tamamının kontrolü saldırgana geçebilir, bu da veri ve hizmet kesintisi riskini ciddi biçimde artırır. Etkilenen sürümler kullanılıyorsa güncelleme öncelikli olarak planlanmalıdır.
ÖzetTürkçe
Keycloak sunucusunun istemci yönetimi bileşeninde bir kusur tespit edildi. Yetkilendirme servisleri etkin iken bir istemci oluşturulduğunda veya içe aktarıldığında, kurulum sürecinde kullanılan dahili bir oturum özniteliği düzgün temizlenmiyor. Bu durum, istemci yönetim yetkisine sahip kimliği doğrulanmış bir saldırganın güvenlik kontrollerini atlatarak kötü amaçlı bir JavaScript politikası yüklemesine olanak tanıyor. Bu politika, bir yetkilendirme isteği yapıldığında sunucuda çalıştırılır. Etkilenen ürünler arasında Red Hat Build of Keycloak ve Red Hat Single Sign-On 7 yer alıyor.
Saldırgan ne yapabilir?
Başarılı bir saldırı, saldırganın sunucuda rastgele kod çalıştırmasına ve bunun sonucunda tüm sistemin ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A flaw was found in the Keycloak server's client management component. When a client is created or imported with authorization services enabled, the system fails to properly clear an internal session attribute used during the setup process. This allows an authenticated attacker with client management permissions to bypass security controls and upload a malicious JavaScript policy, which is then executed on the server when an authorization request is made. Successful exploitation could allow the attacker to run arbitrary code on the server, potentially compromising the entire system.
Üreticinin geçici önlemi (İngilizce)
Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability.
Ne yapmalı?
- Red Hat'in yayımladığı düzeltilmiş sürüme veya güvenlik bülteninde belirtilen güncellemeye geçin. Resmi bir düzeltme için Red Hat ürün belgelerini kontrol edin. Üretici
- Red Hat, bu sorun için kullanılabilir bir geçici çözüm bulunmadığını belirtmektedir. Bu nedenle güncelleme yapılana kadar istemci oluşturma ve içe aktarma yetkilerini yalnızca gerçekten güvenilir yöneticilerle sınırlandırın. Genel öneri
- Güncelleme öncesinde gereksiz istemci yönetimi yetkilerini geri alın ve yönetici hesaplarında çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
Ek önlemler
- Yeni istemci oluşturma ve içe aktarma işlemlerini denetim kayıtlarından düzenli olarak izleyin ve beklenmedik JavaScript politikası eklemelerini araştırın. Genel öneri
- Yetkilendirme servislerini yalnızca ihtiyaç duyulan istemciler için kullanın ve gerekmeyen özellikleri devre dışı bırakın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Build of Keycloak | Sürüm belirtilmemiş | – |
| Red Hat Single Sign-On 7 | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.