CVE-2026-94000 (Keycloak, CVSS 6.6) to missing authorization w Admin REST API: endpointy group-membership nie sprawdzają, czy grupa nadaje role administracyjne, zanim dodadzą do niej użytkownika. Posiadacz ograniczonego manage-users może więc dołączyć siebie do grupy mapującej realm-admin — i przy następnym tokenie staje się realm-adminem, łącznie z prawem nadawania tej roli innym.
manage-users dołącza do grupy z realm-admin → pełne realm-admin przy następnym tokenie.Attack path
Autoryzacja musi obejmować skutki uboczne
Sedno: system autoryzował samą operację („czy możesz zarządzać członkostwem?”), ale nie jej skutek („czy możesz nadać role, które ta grupa przyznaje?”). Delegowana administracja to granica bezpieczeństwa — jeśli operacja pośrednio nadaje uprawnienia, autoryzacja musi objąć te uprawnienia. To ta sama klasa co inne „authentication ≠ authorization” (por. OpenClaw owner-approval).
Co powinien zrobić VE
Upgrade do wersji z poprawką (aktualne security release Keycloak / RHBK — sprawdź advisory Red Hat dla dokładnej wersji). Poza patchem: przejrzyj przypisania grup mapujących role administracyjne i historię dodań członków przez delegowanych adminów (czy ktoś z manage-users nie trafił do grupy z realm-admin). Zasada projektowa: minimalizuj grupy nadające role admin i traktuj membership jak przypisanie roli.
Powiązane na blogu
- Keycloak: konfiguracja a affectedness — inny finding w tym samym produkcie
- OpenClaw: non-owner approval — autoryzacja skutku, nie tylko operacji
Źródła
- Keycloak issue #53060 (CVE-2026-94000) — github.com
- Red Hat — CVE-2026-94000 — access.redhat.com
Nota redakcyjna: stan informacji 28 września 2026, na podstawie publicznych źródeł (Keycloak issue tracker, Red Hat). CVE-2026-94000 (Keycloak, CVSS 6.6, missing authorization w group-membership Admin REST API → eskalacja do realm-admin). Dokładną wersję z poprawką potwierdź w advisory.