Im Identitäts- und Zugangsverwaltungssystem Keycloak klaffen Sicherheitslücken, die Angreifer etwa zum Übernehmen von Konten missbrauchen können. Mit einer aktualisierten Softwareversion schließen die Entwickler sieben teils kritische Sicherheitslücken.
In der Versionsankündigung zu Keycloak 26.7.2 findet sich der Hinweis auf die gravierende Sicherheitslücke CVE-2026-18963 (CVSS 9.1, Risiko „kritisch“), die nicht angemeldeten Angreifern aus dem Netz ermöglicht, Konten im System zu übernehmen. Sie müssen dafür lediglich einen Username respektive eine E-Mail-Adresse kennen und können das Rücksetzen des Passworts für beliebige Nutzer einschließlich Admins anfordern. Und ohne jemals die Passwort-Rücksetz-E-Mail erhalten zu haben, können sie dann ein beliebiges Passwort vergeben, wie dem Proof-of-Concept-Repository zu entnehmen ist.
Insbesondere Red Hat hat gleich vier Sicherheitsmitteilungen dazu veröffentlicht, die jedoch lediglich die Lücke respektive die unterschiedlichen neuen Versionen und Images aufzählen (26.4.15 Images Security Update, 26.4.15 Security Update, 26.6.6 Images Security Update, 26.6.6 Security Update). Neben der Schwachstelle, die sich zur Übernahme von Konten missbrauchen lässt, schließen die Programmierer noch weitere Sicherheitslücken in Version 26.7.2, wofür Red Hat die Korrekturen teilweise zurückportiert hat.
