Keycloak'ta SAML imza doğrulamasını atlatıp başka kullanıcı adına girmeye izin veren açık

Red Hat, kurumların uygulamalarına tek oturum açma (single sign-on) ve kimlik yönetimi sağlamak için kullanılan açık kaynak yazılım Keycloak’taki CVE-2026-117691 açığını 5 Kasım’da duyurdu. CVE kaydına göre açık, Keycloak’ın SAML HTTP-Redirect bağlamasında bulunuyor ve başka bir kimlik sağlayıcı üzerinden giriş yapan (federe) kullanıcıların hesaplarının tamamen ele geçirilmesine yol açıyor. Red Hat’in ön değerlendirme olarak verdiği CVSS 3.1 puanı 9.1, Red Hat kendi sınıflandırmasında açığa önemli (Important) derecesini veriyor.

Açık

CVE kaydına göre Keycloak sunucusu, %53AMLResponse gibi yüzde kodlamasıyla (percent-encoding) yazılmış parametre adlarını işliyor, imza doğrulama mantığı ise yalnızca parametre adlarının düz hâline bakıyor. Saldırgan bu farkı kullanarak, sunucunun imzalı gerçek bir mesaj yerine kendi hazırladığı imzasız bir SAML mesajını işlemesini sağlayabiliyor. Red Hat’e göre açığı başarıyla kullanan bir saldırgan herhangi bir kullanıcı olarak giriş yapabiliyor ve onun rollerine ve verilerine yetkisiz erişebiliyor. Kayıtta açığın CWE sınıfı CWE-347 (kriptografik imzanın yanlış doğrulanması).

Puanlamaya göre açık ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi olmadan kullanılabiliyor. Gizliliğe ve bütünlüğe etkisi yüksek, erişilebilirliğe etkisi yok. CISA’nın kayda eklediği değerlendirmede açığın istismar edildiğine dair bir bilgi yok, CISA açığı otomatikleştirilebilir ve etkisi tam (total) olarak işaretliyor. Red Hat, açığı 26 Ekim’de Think-it GmbH’den Mayssen Aidoudi’nin bildirdiğini belirtiyor.

Etkilenen ürünler

Red Hat’in kaydına göre Red Hat Build of Keycloak’ın keycloak-services paketinin ve rhbk/keycloak-rhel9 konteyner imajının 26.6.9 öncesi sürümleri etkileniyor. Red Hat ikisi için de 7 Kasım’da Red Hat Build of Keycloak 26.6.9 ile güvenlik güncellemesi (errata) yayımladı. Red Hat Single Sign-On 7 etkilenmiyor. Keycloak projesinin GitHub’daki güvenlik duyuruları arasında, bu yazı hazırlanırken açığa ait bir duyuru görünmüyordu.

Önerilen önlemler

Red Hat’e göre bu açık için ya bir geçici önlem yok ya da mevcut seçenekler Red Hat’in kullanım kolaylığı, yaygın kurulumlara uygunluk ve kararlılık ölçütlerini karşılamıyor. Red Hat Build of Keycloak kullananların, Red Hat’in 7 Kasım’da yayımladığı 26.6.9 güncellemelerini kurması gerekiyor. Red Hat, güncellemeyi uygulamadan önce kurulumun, yapılandırma dosyalarının ve veritabanlarının yedeklenmesini öneriyor.