CVE-2026-16100 dotyczy user-event metrics w Keycloak. Gdy metryki są włączone, surowe error messages trafiają do labeli Prometheusa. Ponieważ komunikaty mogą zawierać attacker-controlled wartości, uwierzytelniony użytkownik może generować ogromną liczbę unikalnych time series i doprowadzić do wyczerpania pamięci. To klasyczny cardinality explosion — ale tym razem jako podatność bezpieczeństwa.
Observability nie jest neutralne
Wiele zespołów traktuje metrics jako pasywny monitoring. Tymczasem label values są częścią struktur przechowywanych w pamięci. Jeśli attacker kontroluje label (client_id=random_1, random_2, …), liczba serii rośnie praktycznie bez ograniczeń.
Affectedness zależy od konfiguracji
Podatność wymaga włączonych metrics i odpowiedniego user-event recording, więc scanner wersji nie odpowie, czy system jest exploitable. Finding powinien sprawdzić: metrics enabled? user-event metrics enabled? kto może wywołać account errors? memory limit? restart behavior? Prometheus scrape configuration? A czy limit pamięci to mitigation? Limit kontenera ograniczy blast radius procesu, ale może zamienić memory exhaustion w powtarzalny crash-loop — to compensating control dla hosta, nie remediation aplikacji.
Jak wykryć atak i szersza lekcja
Tu observability może bronić samej siebie: monitoruj nagły wzrost liczby time series, resident memory, cardinality konkretnej metryki, masowe błędy z losowymi client IDs i restarty podów. Szersza lekcja: każda metryka z user-controlled label to potencjalny unbounded allocation primitive — dotyczy nie tylko Keycloak, ale wszystkich systemów eksportujących Prometheus/OpenMetrics.
Wniosek
CVE-2026-16100 pokazuje, że attack surface obejmuje również observability pipeline. Dla VE to ważna kategoria: metrics enabled może zmieniać affectedness tak samo jak feature flag czy aktywny moduł.
Powiązane na blogu
- Keycloak: CVE tylko przy niebezpiecznej konfiguracji — konfiguracja jako warunek
- Zephyr: „Moderate DoS”, a krytyczny operacyjnie — DoS to nie jedna kategoria
Źródła
- Red Hat — CVE-2026-16100 — access.redhat.com
- GitHub Advisory — GHSA-xj3w-m54w-h7p9 — github.com/advisories
Nota redakcyjna: stan informacji 2 września 2026. CVE-2026-16100 dotyczy user-event metrics w Keycloak; attacker-controlled wartości w labelach Prometheusa umożliwiają cardinality explosion i wyczerpanie pamięci. Affectedness zależy od włączonych metrics. Artykuł koncentruje się na observability jako attack surface.