A flaw was found in Keycloak. When a JSON Web Encryption (JWE) encrypted request object is submitted, Keycloak may incorrectly process unsigned claims if the decrypted content is raw JSON, bypassing the configured signature policy. This allows a remote attacker to submit unauthorized claims, leading to a compromise of data integrity within the OpenID Connect (OIDC) authorization flow. While a redirect URI allowlist acts as a compensating control, this vulnerability violates OIDC Core and Financial-grade API (FAPI) signing requirements.
Keycloak incorrectly processes unsigned claims in JWE encrypted request objects, allowing attackers to submit unauthorized claims and bypass signature policies in OIDC flows. This vulnerability compromises data integrity despite redirect URI allowlists acting as partial compensating controls.
تحتوي هذه الثغرة على عيب في معالجة Keycloak لكائنات الطلب المشفرة بـ JWE حيث قد لا يتم التحقق من التوقيع على المطالبات المفككة. يسمح هذا للمهاجمين بتجاوز سياسات التوقيع المكونة وتقديم مطالبات غير مصرح بها في تدفقات OIDC. الثغرة تنتهك متطلبات التوقيع الأساسية في معايير OIDC Core و FAPI.
يعالج Keycloak بشكل غير صحيح المطالبات غير الموقعة في كائنات الطلب المشفرة بـ JWE، مما يسمح للمهاجمين بتقديم مطالبات غير مصرح بها وتجاوز سياسات التوقيع في تدفقات OIDC. تؤثر هذه الثغرة على سلامة البيانات رغم أن قوائم معرفات إعادة التوجيه توفر ضوابط تعويضية جزئية.
Upgrade Keycloak to the latest patched version that enforces signature validation on all claims regardless of JWE encryption status. Implement strict OIDC and FAPI compliance validation, enforce signature requirements on all request objects, and conduct security audits of authorization flows. Monitor for suspicious claim submissions and validate all decrypted content against configured signature policies.
قم بترقية Keycloak إلى أحدث إصدار مصحح يفرض التحقق من التوقيع على جميع المطالبات بغض النظر عن حالة تشفير JWE. طبق التحقق الصارم من امتثال OIDC و FAPI، وفرض متطلبات التوقيع على جميع كائنات الطلب، وإجراء تدقيقات أمنية لتدفقات التفويض. راقب عمليات تقديم المطالبات المريبة والتحقق من جميع المحتوى المفكك مقابل سياسات التوقيع المكونة.