CVE-2026-37982
Keycloak: org.keycloak.authentication: keycloak: unauthorized account takeover via webauthn token replay
Что произошло
A flaw was found in Keycloak. This authentication vulnerability allows a remote attacker to replay `ExecuteActionsActionToken` tokens within Keycloak's WebAuthn (Web Authentication) flow. By intercepting an execute-actions email link, an attacker can register their own authenticator to a victim's account. This leads to unauthorized enrollment of a hardware-backed credential, enabling persistent account takeover.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
To mitigate this issue, consider disabling WebAuthn required actions in Keycloak if they are not essential for your deployment. This will prevent the vulnerable token replay mechanism from being exploited. Consult Keycloak documentation for specific configuration steps to disable WebAuthn required actions. Note that applying configuration changes may require a service restart and could impact functionality relying on WebAuthn registration.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Red Hat / Red Hat build of Keycloak 26.4
{
"status": "unaffected",
"version": "26.4.12-1",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.4::el9
Red Hat / Red Hat build of Keycloak 26.4
{
"status": "unaffected",
"version": "26.4-17",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.4::el9
Red Hat / Red Hat build of Keycloak 26.4.12
cpe:/a:redhat:build_keycloak:26.4::el9
redhat / build_of_keycloak
{
"status": "affected",
"version": "*",
"versionEndExcluding": "26.4.12",
"versionStartIncluding": "26.4"
}cpe:2.3:a:redhat:build_of_keycloak:*:*:*:*:*:*:*:*
CVSS: оценки и векторы
CVSS 3.1 · cve6.8
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
CVSS 3.1 · secalert@redhat.com6.8
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Классы CWE
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-01T21:11:02.948656+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-29T09:34:36.554175+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-29T09:34:36.554175+00:00"
},
"affected": [
"cve",
"nvd"
],
"published": {
"source": "cve",
"received_at": "2026-10-29T09:34:36.554175+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-01T21:11:02.948656+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-29T09:34:36.554175+00:00"
},
"workarounds": [
"cve"
],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены02.11.2026, 00:11
- Данные обновлены31.10.2026, 11:58
- Данные обновлены29.10.2026, 00:16
- Данные обновлены28.10.2026, 18:06
- Опубликована28.10.2026, 15:15
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-9086 Keycloak: keycloak: cross-site scripting (xss) via case-insensitive uri validation bypass Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Высокий | 7.3 | 0,78 % | Патч | 25.06.2026 | |
| CVE-2026-9083 Keycloak: keycloak: information disclosure through arbitrary filesystem path probing Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 4.9 | 0,78 % | Патч | 25.06.2026 | |
| CVE-2026-9799 Keycloak: keycloak: unauthorized access to resources via uma permission ticket bypass Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 4.6 | 0,29 % | Патч | 25.06.2026 | |
| CVE-2026-9800 Keycloak-policy-enforcer: keycloak policy enforcer: authorization bypass via incorrect uri comparison Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Высокий | 8.1 | 0,65 % | Патч | 25.06.2026 | |
| CVE-2026-9705 Keycloak: keycloak: attacker can re-enable and take over disabled clients via registration access token Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 6.5 | 0,46 % | Патч | 25.06.2026 |