PT-2022-11382 · Red Hat · Keycloak
CVE-2021-4133
·
Publicado
2021-12-20
·
Atualizado
2022-09-03
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Keycloak de 12.0.0 a 15.1.1
Descrição
Foi identificada uma falha no Keycloak que permite que um invasor, utilizando qualquer conta de usuário existente, crie novas contas de usuário padrão por meio da API REST administrativa, mesmo quando o registro de novos usuários estiver desativado.
Recomendações
Para as versões 12.0.0 a 15.1.1 do Keycloak, considere desativar a API REST administrativa até que uma correção esteja disponível. Restrinja o acesso à API REST administrativa para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
DoS
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Keycloak