rh-sso7-keycloak 的更新现在可用于 RHEL 6 的 Red Hat Single Sign-On 7.1。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Single Sign-On 是基于 Keycloak 项目的独立服务器，其为 Web 和移动应用程序提供基于身份验证和标准的单点登录功能。此 Red Hat Single Sign-On 7.1.3 版本可替换 Red Hat Single Sign-On 7.1.2，并且包括若干缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多信息。安全修复：* 据发现，keycloak 会接受管理控制台中的 HOST 标头 URL，并用来判断 web 资源位置。攻击者可利用此缺陷攻击经验证的用户，以通过恶意服务器获取反射型 XSS。(CVE-2017-12158) * 据发现，Keycloak 中用于预防 CSRF 的 cookie 对各个会话并不具唯一性。攻击者可利用此缺陷获取访问经验证用户会话的权限，进而导致可能的信息泄露或进一步的攻击。(CVE-2017-12159) * 发现进行身份验证时，libpam4j 未能正确验证用户帐户。具有停用帐户有效密码的用户可绕过安全限制，并可能访问敏感信息。(CVE-2017-12197) * 据发现，Keycloak oauth 会允许经验证的资源从验证服务器获取令牌对的访问/刷新，进而可在权限撤销的情况下无限使用。已遭入侵资源中的攻击者可利用此缺陷授予自已持续的权限，并可能发动进一步攻击。(CVE-2017-12160) Red Hat 感谢 Mykhailo Stadnyk (Playtech) 报告 CVE-2017-12158；感谢 Prapti Mittal 报告 CVE-2017-12159；并感谢 Bart Toersche (Simacan) 报告 CVE-2017-12160。CVE-2017-12197 问题由 Christian Heimes (Red Hat) 发现。

检测

RHEL 6：rh-sso7-keycloak (RHSA-2017:2904)

high Nessus 插件 ID 103956

版本 3.12