CVE-2021-3754

このリポジトリは、2021年8月21日にAnurag Mondal (7Ragnarok7) によって発見・報告されたCVE-2021-3754の脆弱性の詳細とエクスプロイトを文書化したものです。

メトリクス

• CWE-20: 不適切な入力検証
• CVSS: 5.3 (MEDIUM)

説明

Apache Keycloak & Redhat SSO に欠陥が発見されました。攻撃者は、既存の任意のユーザーのメールIDと同じユーザー名で自身を登録することができます。
これは、ユーザー名がメールアドレスより先に評価されることが原因です。 Keycloak はユーザー名としてメールアドレスの使用を許可しており、このメールアドレスを持つアカウントが既に存在するかどうかをチェックしません。

影響

上記の動作により、ユーザーがパスワードを忘れた場合にパスワード回復メールを受け取る際に問題が発生し、それによってユーザーが一時的にアカウントから締め出されることになります。

緩和策 (Redhat による提案)

回避策は、ログイン設定で「Email as username」フラグを有効にするか、「Login with email」を無効にすることです。
参照

概念実証/エクスプロイト

以下は、私が最初に Redhat に報告した概念実証の動画で、脆弱性の全体とエクスプロイト手順を示しています:

注記

• Redhat が提案した回避策は一時的なものであり、不適切な入力検証という根本的な問題は Redhat/Keycloak によって修正されていないことに注意してください。
• 上記で Redhat が提案した Keycloak の緩和策は、私自身によってテストおよび検証されていないことに注意してください。
• 製品やアプリケーションで Keycloak/Redhat SSO を使用している場合、依然として脆弱であることに注意してください。私は、Redhat SSO が今日に至るまでこの問題に対して依然として脆弱であることを確認しています。
• Keycloak を使用しており、ログイン画面の設定を適切に構成していない場合、依然として脆弱である可能性があります。
• 更新 - この脆弱性は Keycloak バージョン 24.0.1 で修正されています (https://github.com/advisories/GHSA-4vc8-pg5c-vg4x)

重要なリンク

• https://nvd.nist.gov/vuln/detail/CVE-2021-3754
• https://www.cvedetails.com/cve/CVE-2021-3754/
• https://bugzilla.redhat.com/show_bug.cgi?id=1999196
• https://access.redhat.com/security/cve/CVE-2021-3754
• https://github.com/advisories/GHSA-4vc8-pg5c-vg4x
• https://github.com/advisories/GHSA-j9xq-j329-2xvg
• https://vulners.com/cve/CVE-2021-3754
• https://www.tenable.com/cve/CVE-2021-3754