Keycloak vá lỗi nghiêm trọng trong cơ chế đặt lại mật khẩu
"Red Hat and the Keycloak project patched CVE-2026-18963, a critical password reset flaw in Keycloak that could let an unauthenticated remote attacker take over any user account, including administrative accounts, by abusing the reset-credentials flow. The issue was fixed in upstream Keycloak 26.7.2 and corresponding Red Hat build of Keycloak updates, with a temporary mitigation of disabling the Forgot password feature across all realms."
Rủi ro chiếm quyền tài khoản trên diện rộng, bao gồm tài khoản quản trị; có thể xảy ra từ xa và không cần xác thực.
Có thể ảnh hưởng đến dịch vụ đăng nhập và quyền truy cập vào các hệ thống phía sau Keycloak; nếu bị khai thác sẽ gây gián đoạn và rủi ro vận hành đáng kể.
Red Hat và dự án Keycloak đã phát hành bản vá cho CVE-2026-18963, một lỗi nghiêm trọng trong luồng reset-credentials có thể cho phép kẻ tấn công từ xa, không cần xác thực, chiếm quyền bất kỳ tài khoản nào, kể cả tài khoản quản trị. Lỗi được đánh giá CVSS 9.1 và liên quan đến CWE-640 do kiểm tra trạng thái không đúng trong quy trình khôi phục mật khẩu.
Theo thông tin công bố, kẻ tấn công có thể gửi yêu cầu được tạo đặc biệt tới endpoint đặt lại mật khẩu để chuyển phiên xác thực sang bước cập nhật mật khẩu mà không cần token gửi qua email. Hiện chưa có bằng chứng khai thác thực tế hoặc exploit công khai đã được xác minh.
Bản sửa đã có trong Keycloak 26.7.2; với Red Hat build of Keycloak, cần áp dụng các bản cập nhật cho 26.4.15 và 26.6.6 tương ứng. Nếu chưa thể nâng cấp ngay, biện pháp tạm thời là tắt tính năng Forgot password trên tất cả realms trong phần Realm settings > Login.
Khuyến nghị: kiểm tra phiên bản đang chạy, ưu tiên cập nhật sớm, và rà soát các realm còn bật chức năng khôi phục mật khẩu để giảm rủi ro chiếm quyền tài khoản.