CVE-2026-7500
Org.keycloak.keycloak-services: improper access control on keycloak server when the account account api feature is disabled
Что произошло
When Keycloak is started with `--features-disabled=account,account-api`, the Account REST API is only partially disabled. Five endpoints under the versioned path `/account/v1alpha1` remain fully functional — including both read and write operations — because they lack the `checkAccountApiEnabled()` gate that correctly blocks four other endpoints in the same REST service class. The user needs to have permissions to use the API.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
To reduce the attack surface, restrict network access to the Keycloak server's administration and API endpoints to trusted networks or hosts. This limits the ability of unauthorized users to interact with the server and potentially exploit this improper access control vulnerability. If the Keycloak service is reloaded or restarted, ensure that firewall rules or network access controls remain in effect.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Red Hat / Red Hat build of Keycloak 26.4
{
"status": "unaffected",
"version": "26.4.13-1",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.4::el9
Red Hat / Red Hat build of Keycloak 26.4
{
"status": "unaffected",
"version": "26.4-19",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.4::el9
Red Hat / Red Hat build of Keycloak 26.4.13
cpe:/a:redhat:build_keycloak:26.4::el9
Red Hat / Red Hat build of Keycloak 26.6
{
"status": "unaffected",
"version": "26.6.3-3",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.6::el9
Red Hat / Red Hat build of Keycloak 26.6
{
"status": "unaffected",
"version": "26.6-6",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:build_keycloak:26.6::el9
Red Hat / Red Hat build of Keycloak 26.6.3
cpe:/a:redhat:build_keycloak:26.6::el9
redhat / build_of_keycloak
{
"status": "affected",
"version": "-"
}cpe:2.3:a:redhat:build_of_keycloak:-:*:*:*:-:*:*:*
CVSS: оценки и векторы
CVSS 3.1 · cve5.4
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
CVSS 3.1 · secalert@redhat.com5.4
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Классы CWE
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:20:11.079985+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T17:26:03.528680+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T17:26:03.528680+00:00"
},
"affected": [
"cve",
"nvd"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T17:26:03.528680+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:20:11.079985+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T17:26:03.528680+00:00"
},
"workarounds": [
"cve"
],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены05.11.2026, 00:20
- Данные обновлены04.11.2026, 00:15
- Данные обновлены03.11.2026, 00:14
- Данные обновлены02.11.2026, 00:12
- Данные обновлены31.10.2026, 11:59
- Данные обновлены28.10.2026, 20:26
- Данные обновлены28.10.2026, 18:06
- Опубликована28.10.2026, 15:13
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-9086 Keycloak: keycloak: cross-site scripting (xss) via case-insensitive uri validation bypass Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Высокий | 7.3 | 0,78 % | Патч | 25.06.2026 | |
| CVE-2026-9083 Keycloak: keycloak: information disclosure through arbitrary filesystem path probing Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 4.9 | 0,78 % | Патч | 25.06.2026 | |
| CVE-2026-9799 Keycloak: keycloak: unauthorized access to resources via uma permission ticket bypass Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 4.6 | 0,29 % | Патч | 25.06.2026 | |
| CVE-2026-9800 Keycloak-policy-enforcer: keycloak policy enforcer: authorization bypass via incorrect uri comparison Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Высокий | 8.1 | 0,65 % | Патч | 25.06.2026 | |
| CVE-2026-9705 Keycloak: keycloak: attacker can re-enable and take over disabled clients via registration access token Red Hat / Red Hat build of Keycloak 26.4 · Red Hat / Red Hat build of Keycloak 26.4.13 | Средний | 6.5 | 0,46 % | Патч | 25.06.2026 |