Vulnérabilité critique dans Keycloak
.png)
Produits concernés
• Keycloak version antérieure à 26.8.2
• Red Hat build of Keycloak 26.4 version antérieure à 26.4.18
Prérequis
• Accès réseau à l'instance Keycloak
• Fournisseur d'identité externe configuré en SAML avec le binding HTTP-Redirect
• Compte valide sur le fournisseur d'identité externe
Risques
• Usurpation d'identité des utilisateurs fédérés
• Accès non autorisé aux applications protégées par Keycloak
Résumé
Une vulnérabilité critique de type "Contournement d'authentification" affectant Keycloak a récemment été publiée par l'éditeur Red Hat le 5 novembre 2026.
Le niveau de criticité initial de cette vulnérabilité est de 9.1 (score CVSSv3.1).
La solution Keycloak est une solution open source de gestion des identités et des accès, utilisée pour centraliser l'authentification (SSO) des utilisateurs sur les applications de l'entreprise.
• CVE-2026-117691 : Une vulnérabilité dans l'implémentation du binding SAML HTTP-Redirect de Keycloak pourrait permettre à un attaquant de faire accepter un message SAML non signé à la place d'un message légitimement signé, en exploitant une différence de traitement des noms de paramètres encodés dans l'URL. L'exploitation de cette CVE pourrait permettre à l'attaquant de se connecter sous l'identité de n'importe quel utilisateur fédéré et d'accéder aux applications protégées par Keycloak.
À l'heure actuelle, aucune exploitation active ni exploit public n'a été identifié.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est compromis, vous pouvez :
• Rechercher dans les journaux du serveur web, du reverse proxy ou du WAF les requêtes SAML vers Keycloak contenant des noms de paramètres encodés (par exemple %53AMLResponse) ou des paramètres SAMLResponse / SAMLRequest dupliqués
• Vérifier dans les journaux d'audit de Keycloak les connexions fédérées réussies sans authentification correspondante côté fournisseur d'identité externe
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour Keycloak vers les versions :
• 26.8.2 et supérieures (Keycloak communautaire)
• 26.4.18 et supérieures (Red Hat build of Keycloak)
Mitigation
Aucune mitigation officielle n'est communiquée par l'éditeur. En attendant le déploiement du correctif :
• Bloquer au niveau du WAF ou du reverse proxy les requêtes SAML HTTP-Redirect contenant des noms de paramètres encodés pour SAMLResponse ou SAMLRequest
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
