Red Hatは、Red Hat Build of Keycloakに存在する重大な脆弱性を公開しました。この脆弱性により、未認証のリモート攻撃者がパスワードリセットプロセスにおける重要な保護機構を回避し、任意のユーザーアカウントを乗っ取ることが可能になります。
CVE-2026-18963として追跡されているこの脆弱性は、エンタープライズ向けKeycloakディストリビューションの中核であるIDおよびアクセス管理エンジン「keycloak-services」コンポーネントに影響します。Red HatはCVSS v3.1スコア9.1を割り当て、重大度を「Critical」に分類しています。
Red Hatの重大なKeycloakパスワードリセット脆弱性
脆弱性のあるresetクレデンシャルフローは、パスワード復旧処理中の状態検証に失敗します。通常であれば、リセットリクエストは対象ユーザーが新しい認証情報を設定する前にメール確認リンクをクリックすることを必須としています。
Red Hatによれば、攻撃者はこの確認手順を完了することなく、任意のアカウントに対してこのプロセスを強制的に実行できるとしています。これにより攻撃者はそのまま新しいパスワードを設定でき、標的とするIDへの完全なアクセス権を取得できてしまいます。
この脆弱性が特に重大とされるのは、ネットワーク経由の攻撃ベクトルを持ち、攻撃の複雑さが低く、権限もユーザーの操作も一切必要としない点にあります。
こうした条件から、インターネットに公開されたKeycloak環境、特に社内アプリケーション、管理コンソール、顧客向けサービス、シングルサインオン環境へのアクセスを仲介している環境では、優先的にパッチを適用すべきだとしています。
Red Hatによると、悪用に成功した場合は機密性と完全性が損なわれる可能性がある一方、CVSS評価上は可用性への直接的な影響は記録されていないとしています。
Red Hatはこの問題の原因を、resetクレデンシャル認証フローにおける不適切な状態検証にあるとし、パスワード復旧メカニズムの保護不足に関する脆弱性であるCWE-640に分類しています。
特権アカウントが侵害された場合、そのIDに紐づく権限次第では、侵入者がレルム設定を変更したり、アクセス経路を作成したり、連携するアプリケーションへ横展開したりする足がかりになりかねません。そのため各組織は、パスワードリセットのアクティビティ、異常な認証情報の変更、直近の管理者ログインを確認し、不正利用の兆候がないか点検すべきです。
Red Hatは2026年8月18日に修正版を公開し、RHSA-2026:56519、RHSA-2026:56520、RHSA-2026:56523、RHSA-2026:56524の各アドバイザリを通じて、Red Hat Builds of Keycloak 26.4、26.4.15、26.6、26.6.6を対象に対応しています。管理者はできるだけ早く該当する更新パッケージおよびオペレーターを適用すべきです。
即座にアップグレードすることが難しい場合、Red Hatはすべてのレルムで「Forgot password」機能を無効化することを推奨しています。手順は「Realm settings」>「Login」>「Forgot password」>「Off」です。この回避策はリスクを軽減しますが、ベンダー提供の修正パッチの適用に代わるものではありません。
Red Hatのアドバイザリには、オペレーターバンドル、RHEL 9ベースのKeycloakパッケージ、OpenShiftデプロイメント、および影響を受けるリリースストリームにおけるスタンドアロンのkeycloak-servicesコンポーネントについて、修正済みビルドが一覧で示されています。
同社は、製品が明示的に「影響なし」と記載されていない限り、記載された対象マイナーアップデートストリーム内の旧バージョンパッケージについては、完全な分析が行われていない場合でも脆弱であるとみなして扱うべきだと注意を促しています。
セキュリティチームは、各レルムを棚卸しして復旧機能が有効になっているかを確認するとともに、メンテナンス後にパッチ適用済みのイメージが稼働していることを確認すべきです。パスワードリセットのワークフローはID、メール、アプリケーションの各境界をまたぐため、侵害が確認された場合、インシデント対応チームは疑わしいセッションを無効化することも検討すべきです。
ComparingHome Security Systems
Prevent incidents due to slow investigations. Power your Tier 1 with threat intelligence from 15K SOCs: Integrate TI Lookup in your SOC
翻訳元: https://gbhackers.com/critical-red-hat-keycloak-password-reset-flaw/
