CVE-2021-3754

このリポジトリは、私自身が2021年8月21日に発見・報告したCVE-2021-3754の脆弱性詳細およびエクスプロイトを文書化したものです。

メトリクス

• CWE-20: 不適切な入力検証
• CVSS: 5.3 (中)

説明

Apache Keycloak および Redhat SSO において、攻撃者が既存ユーザーのメールアドレスと同じユーザー名で自身を登録できる脆弱性が見つかりました。
これはユーザー名がメールの前に評価されるために発生します。 Keycloak はメールアドレスをユーザー名として使用することを許可しており、そのメールアドレスを持つアカウントが既に存在するかどうかをチェックしません。

影響

上記の動作により、ユーザーがパスワードを忘れた場合にパスワード回復メールを受け取ることが困難になり、結果として一時的にアカウントがロックアウトされます。

緩和策（Redhat による推奨）

回避策は、ログイン設定で「メールアドレスをユーザー名として使用」フラグを有効にするか、「メールでログイン」を無効にすることです。
参考

概念実証/エクスプロイト

以下は、私が最初に Redhat に報告した概念実証 ビデオ であり、完全な脆弱性とその悪用手順を示しています。

注記

• Redhat が提案した回避策は一時的なものであり、不適切な入力検証という根本的な問題は Redhat/Keycloak によって修正されていないことにご注意ください。
• 上記の Redhat による Keycloak 向け緩和策は、私自身によってテスト・検証されていません。
• Keycloak/Redhat SSO を製品やアプリケーションで使用している場合、依然として脆弱です。Redhat SSO が現在に至るまでこの問題に対して脆弱であることを確認しています。
• Keycloak を使用していてログイン画面の設定を適切に行っていない場合、依然として脆弱である可能性があります。
• 更新 - 本脆弱性は Keycloak バージョン 24.0.1 で修正されました (https://github.com/advisories/GHSA-4vc8-pg5c-vg4x)

重要なリンク

• https://nvd.nist.gov/vuln/detail/CVE-2021-3754
• https://www.cvedetails.com/cve/CVE-2021-3754/
• https://bugzilla.redhat.com/show_bug.cgi?id=1999196
• https://access.redhat.com/security/cve/CVE-2021-3754
• https://github.com/advisories/GHSA-4vc8-pg5c-vg4x
• https://github.com/advisories/GHSA-j9xq-j329-2xvg
• https://vulners.com/cve/CVE-2021-3754
• https://www.tenable.com/cve/CVE-2021-3754