A flaw was found in Keycloak. The cross-session verification proof is keyed only by (local userId,
idpAlias) and is not bound to the upstream identity that was actually verified, so a second upstream account on the same IdP can consume it and get linked to the victim's local account.
Keycloak's cross-session verification proof lacks proper binding to upstream identity, allowing attackers to link a second upstream account to a victim's local account. This account linking vulnerability affects identity federation scenarios where multiple upstream accounts exist on the same identity provider.
تم اكتشاف خلل في Keycloak حيث أن إثبات التحقق من الجلسات المتقاطعة يعتمد فقط على معرف المستخدم المحلي واسم مزود الهوية، دون ربطه بهوية المصدر الفعلية التي تم التحقق منها. يسمح هذا للمهاجمين باستخدام حساب مصدر ثاني على نفس مزود الهوية لاستهلاك الإثبات وربط حسابهم بحساب الضحية المحلي.
Keycloak's cross-session verification proof lacks proper binding to upstream identity, allowing attackers to link a second upstream account to a victim's local account. This account linking vulnerability affects identity federation scenarios where multiple upstream accounts exist on the same identity provider.
Update Keycloak to the latest patched version that implements proper upstream identity binding in cross-session verification proofs. Implement additional verification checks to ensure the verified upstream identity matches the account being linked. Review and audit existing account linking operations for unauthorized links.
قم بتحديث Keycloak إلى أحدث إصدار مصحح يطبق ربط هوية المصدر بشكل صحيح في إثباتات التحقق من الجلسات المتقاطعة. قم بتنفيذ فحوصات تحقق إضافية للتأكد من أن هوية المصدر المتحقق منها تطابق الحساب الذي يتم ربطه. راجع وتدقيق عمليات ربط الحسابات الموجودة للبحث عن روابط غير مصرح بها.