PT-2024-38263

CVE-2024-7318

Publicado

2024-09-09

Atualizado

2026-08-25

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Keycloak (versões afetadas não especificadas)

Descrição

Foi identificada uma vulnerabilidade no Keycloak em que códigos OTP expirados continuam utilizáveis ao usar o FreeOTP com o período padrão de validade do token OTP de 30 segundos. Em vez de expirarem após 30 segundos, os tokens permanecem válidos por mais 30 segundos, totalizando 1 minuto. Isso aumenta a janela de ataque para que agentes mal-intencionados abusem do sistema e comprometam contas, bem como a superfície de ataque, uma vez que dois OTPs são válidos a qualquer momento.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Patrick Del Bello

Todd Cullum

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-324: Use of a Key Past its Expiration Date