CVE-2026-15571

概要

Keycloak（広く使用されているオープンソースのアイデンティティおよびアクセス管理ソリューション）のレガシーなクライアント開始型アカウントリンクエンドポイントに欠陥が見つかりました。アカウントリンクプロセスを不正なリクエストから保護するために使用されるメカニズムは、悪意のあるOIDCクライアントによって予測可能なハッシュに依存しています。ユーザーを認証させるように誘導することで、攻撃者が制御するクライアントは、被害者のアカウントを攻撃者の外部アイデンティティに接続するための有効なリンクURLを偽造できます。これにより完全なアカウント乗っ取りが発生し、攻撃者は被害者としてログインできるようになります。

• 1day-archive研究

  最近公開されたCVEに関する技術的な深掘りと根本原因の分析 - パッチのリバースエンジニアリング、概念実証（PoC）の構築、1-dayウィンドウ内での悪用手法の文書化。