// HEISE ONLINE — CYBERSECURITY
Zugriffsverwaltung Keycloak: Kontoübernahme durch Passwort-Rücksetzfunktion
In dem Identitäts- und Zugriffssteuerungssystem Keycloak können Angreifer einen Fehler beim Passwort-Rücksetzen missbrauchen, um Konten zu übernehmen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Im Identitäts- und Zugangsverwaltungssystem Keycloak klaffen Sicherheitslücken, die Angreifer etwa zum Übernehmen von Konten missbrauchen können. Mit einer aktualisierten Softwareversion schließen die Entwickler sieben teils kritische Sicherheitslücken.
In der Versionsankündigung zu Keycloak 26.7.2 findet sich der Hinweis auf die gravierende Sicherheitslücke CVE-2026-18963 (CVSS 9.1, Risiko „kritisch“), die nicht angemeldeten Angreifern aus dem Netz ermöglicht, Konten im System zu übernehmen. Sie müssen dafür lediglich einen Username respektive eine E-Mail-Adresse kennen und können das Rücksetzen des Passworts für beliebige Nutzer einschließlich Admins anfordern. Und ohne jemals die Passwort-Rücksetz-E-Mail erhalten zu haben, können sie dann ein beliebiges Passwort vergeben, wie dem Proof-of-Concept-Repository zu entnehmen ist.
Insbesondere Red Hat hat gleich vier Sicherheitsmitteilungen dazu veröffentlicht, die jedoch lediglich die Lücke respektive die unterschiedlichen neuen Versionen und Images aufzählen (26.4.15 Images Security Update, 26.4.15 Security Update, 26.6.6 Images Security Update, 26.6.6 Security Update). Neben der Schwachstelle, die sich zur Übernahme von Konten missbrauchen lässt, schließen die Programmierer noch weitere Sicherheitslücken in Version 26.7.2, wofür Red Hat die Korrekturen teilweise zurückportiert hat.
Die weiteren Schwachstellen, die das neue Release ausbessert, umfassen:
IT-Verantwortliche sollten das Keycloak-Update aufgrund der kritischen Sicherheitslücke zügig installieren.
Zuletzt wurden Sicherheitsprobleme mit der Keycloak-Anbindung für Apache Airflow im April dieses Jahres bekannt. Betroffene Systeme hätten sich schlimmstenfalls vollständig kompromittieren lassen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.