PT-2020-12318

CVE-2020-10770

Publicado

2020-12-15

Atualizado

2024-09-25

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Keycloak anteriores à 13.0.0

Descrição

Foi identificada uma falha no Keycloak que permite forçar o servidor a acessar uma URL não verificada utilizando o parâmetro OIDC request uri. Essa falha permite que um invasor utilize esse parâmetro para executar um ataque de falsificação de solicitação do lado do servidor (SSRF).

Recomendações

Para versões anteriores à 13.0.0, atualize para a versão 13.0.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro request uri no endpoint OIDC para minimizar o risco de exploração.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Lauritz

Lauritz Holtmann

Paramvir Jindal

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-601: URL Redirection to Untrusted Site (\'Open Redirect\')