A flaw was found in Keycloak's Client Policies, specifically within the `org.keycloak.protocol.oidc` component. When certain condition providers (client-type, client-roles, client-attributes, client-scopes) are used to enforce security restrictions, the `reject-ropc-grant` executor is silently bypassed. This allows an unauthenticated remote attacker to obtain tokens via a Resource Owner Password Credentials (ROPC) grant, even when a policy is explicitly configured to block it. This bypass can lead to unauthorized access and information disclosure.
Keycloak's Client Policies fail to enforce ROPC grant restrictions when certain condition providers are configured, allowing unauthenticated attackers to bypass security policies and obtain tokens. This vulnerability affects organizations relying on Keycloak for identity and access management, potentially leading to unauthorized access.
يوجد خلل في مكون org.keycloak.protocol.oidc حيث يتم تجاوز منفذ reject-ropc-grant بصمت عند استخدام موفري شروط معينة مثل client-type و client-roles و client-attributes و client-scopes. يسمح هذا الخلل لمهاجم غير مصرح بالحصول على رموز عبر منح بيانات اعتماد مالك المورد حتى عندما يتم تكوين السياسة بشكل صريح لحظره.
سياسات العملاء في Keycloak تفشل في فرض قيود منح ROPC عند تكوين موفري شروط معينة، مما يسمح للمهاجمين غير المصرح لهم بتجاوز سياسات الأمان والحصول على الرموز. تؤثر هذه الثغرة على المنظمات التي تعتمد على Keycloak لإدارة الهوية والوصول.
Update Keycloak to the latest patched version that fixes the Client Policies enforcement logic. Verify that reject-ropc-grant executors are properly enforced regardless of condition provider configuration. Audit existing client policies to ensure ROPC restrictions are correctly applied. Implement network-level controls to restrict ROPC grant requests if immediate patching is not possible.
قم بتحديث Keycloak إلى أحدث إصدار مصحح يصلح منطق فرض سياسات العملاء. تحقق من أن منفذي reject-ropc-grant يتم فرضهم بشكل صحيح بغض النظر عن تكوين موفر الشروط. قم بمراجعة سياسات العملاء الموجودة للتأكد من تطبيق قيود ROPC بشكل صحيح. قم بتنفيذ عناصر تحكم على مستوى الشبكة لتقييد طلبات منح ROPC إذا لم يكن التصحيح الفوري ممكناً.