現已提供適用於 RHEL 6 之 Red Hat Single Sign-On 7.1 的 rh-sso7-keycloak 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Single Sign-On 是一部以 Keycloak 專案為基礎建置而成的獨立伺服器，其為 Web 及行動應用程式提供驗證和標準型單一登入功能。此 Red Hat Single Sign-On 7.1.3 版本是 Red Hat Single Sign-On 7.1.2 的替代版本，內含數個錯誤修正和增強功能。如需進一步資訊，請參閱〈參照〉一節連結的版本資訊。安全性修正：* 據發現，keycloak 會接受管理主控台中的 HOST 標頭 URL，並用來判斷 web 資源位置。攻擊者可利用此缺陷攻擊經驗證的使用者，以透過惡意伺服器取得反射式 XSS。(CVE-2017-12158) * 據發現，Keycloak 中用於預防 CSRF 的 cookie 對各個工作階段並不具唯一性。攻擊者可利用此缺陷取得存取經驗證使用者工作階段的權限，進而導致可能的資訊洩露或進一步的攻擊。(CVE-2017-12159) 據發現，libpam4j 未在驗證時正確驗證使用者帳戶。具有停用帳戶有效密碼的使用者可繞過安全性限制，並可能存取敏感資訊。(CVE-2017-12197) * 據發現，Keycloak oauth 會允許經驗證的資源從驗證伺服器取得存取/重新整理 token 對，進而可在權限撤銷的情況下無限使用。已遭入侵資源中的攻擊者可利用此缺陷授予自已持續的權限，並可能發動進一步攻擊。(CVE-2017-12160) Red Hat 感謝 Mykhailo Stadnyk (Playtech) 報告 CVE-2017-12158；感謝 Prapti Mittal 報告 CVE-2017-12159；及感謝 Bart Toersche (Simacan) 報告 CVE-2017-12160。CVE-2017-12197 問題是由 Christian Heimes (Red Hat) 所發現。

在 PAM 整合的 Java 程式庫包裝函式 libpam4j 在驗證期間未呼叫 pam_acct_mgmt()。具備有效密碼但帳戶遭停用的使用者仍可登入。

已发现用于集成 PAM 的 Java 库包装器 libpam4j 在身份验证期间未调用 pam_acct_mgmt()。因此，拥有有效密码但帐户已停用或禁用的用户仍可登录。

發現 libpam.so 的 Java 繫結 libpam4j 未呼叫 pam_acct_mgmt()。因此無法正確驗證 PAM 帳戶。具備有效密碼但帳戶遭到停用的任何使用者皆可登入。針對 Debian 7「Wheezy」，這些問題已在 1.4-2+deb7u1 版本中修正。我們建議您升級 libpam4j 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:2905 公告中提及的多個弱點影響。

    Red Hat Single Sign-On 是一部以 Keycloak 專案為基礎建置而成的獨立伺服器，其為 Web 及行動應用程式提供驗證和標準型單一登入功能。

    本版本 Red Hat Single Sign-On 7.1.3 為 Red Hat Single Sign-On 7.1.2 的取代版本，內含數個錯誤修正和增強功能。如需進一步資訊，請參閱〈參照〉一節連結的版本資訊。

    安全性修正：

    * 據發現，keycloak 會接受管理主控台中的 HOST 標頭 URL，並使用它來判斷 Web 資源位置。攻擊者可針對經驗證的使用者利用此缺陷，透過惡意伺服器取得反射式 XSS。 (CVE-2017-12158)

    * 據發現，Keycloak 中用於預防 CSRF 的 cookie 對各個工作階段並不具唯一性。攻擊者可利用此瑕疵取得經驗證使用者工作階段的存取權，進而導致可能的資訊洩漏或進一步攻擊。 (CVE-2017-12159)

    據發現，libpam4j 未在驗證時正確驗證使用者帳戶。具有已停用帳戶之有效密碼的使用者將能夠繞過安全性限制，並可能存取敏感資訊。 (CVE-2017-12197)

    * 據發現，Keycloak oauth 會允許經驗證的資源從驗證伺服器取得存取/重新整理 token 對，進而可在權限撤銷的情況下無限使用。已遭入侵資源上的攻擊者可利用此缺陷授予自己持續的權限，並可能發動進一步攻擊。 (CVE-2017-12160)

    Red Hat 感謝 Mykhailo Stadnyk (Playtech) 報告 CVE-2017-12158；感謝 Prapti Mittal 報告 CVE-2017-12159；及感謝 Bart Toersche (Simacan) 報告 CVE-2017-12160。CVE-2017-12197 問題是由 Christian Heimes (Red Hat) 所發現。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

已发现 libpam.so 的 Java 绑定 libpam4j 未调用 pam_acct_mgmt()。因此，未正确验证 PAM 帐户。任何拥有有效密码但帐户已停用或禁用的用户均可登录。对于 Debian 7“Wheezy”，这些问题已在 1.4-2+deb7u1 版本中修复。我们建议您升级 libpam4j 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

rh-sso7-keycloak 的更新现在可用于 RHEL 6 的 Red Hat Single Sign-On 7.1。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Single Sign-On 是基于 Keycloak 项目的独立服务器，其为 Web 和移动应用程序提供基于身份验证和标准的单点登录功能。此 Red Hat Single Sign-On 7.1.3 版本可替换 Red Hat Single Sign-On 7.1.2，并且包括若干缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多信息。安全修复：* 据发现，keycloak 会接受管理控制台中的 HOST 标头 URL，并用来判断 web 资源位置。攻击者可利用此缺陷攻击经验证的用户，以通过恶意服务器获取反射型 XSS。(CVE-2017-12158) * 据发现，Keycloak 中用于预防 CSRF 的 cookie 对各个会话并不具唯一性。攻击者可利用此缺陷获取访问经验证用户会话的权限，进而导致可能的信息泄露或进一步的攻击。(CVE-2017-12159) * 发现进行身份验证时，libpam4j 未能正确验证用户帐户。具有停用帐户有效密码的用户可绕过安全限制，并可能访问敏感信息。(CVE-2017-12197) * 据发现，Keycloak oauth 会允许经验证的资源从验证服务器获取令牌对的访问/刷新，进而可在权限撤销的情况下无限使用。已遭入侵资源中的攻击者可利用此缺陷授予自已持续的权限，并可能发动进一步攻击。(CVE-2017-12160) Red Hat 感谢 Mykhailo Stadnyk (Playtech) 报告 CVE-2017-12158；感谢 Prapti Mittal 报告 CVE-2017-12159；并感谢 Bart Toersche (Simacan) 报告 CVE-2017-12160。CVE-2017-12197 问题由 Christian Heimes (Red Hat) 发现。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2017:2905 公告中提及的多个漏洞的影响。

    Red Hat Single Sign-On 是基于 Keycloak 项目的独立服务器，其为 Web 和移动应用程序提供基于身份验证和标准的单点登录功能。

    此 Red Hat Single Sign-On 7.1.3 版本可替换 Red Hat Single Sign-On 7.1.2，并且包括若干缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多信息。

    安全修复：

    * 已发现 keycloak 在 admin 控制台中接受 HOST 标头 URL，并将其用于确定 Web 资源位置。攻击者可利用此缺陷针对经过身份验证的用户，通过恶意服务器获取反射型 XSS。 (CVE-2017-12158)

    * 据发现，Keycloak 中用于预防 CSRF 的 cookie 对各个会话并不具唯一性。攻击者可利用此缺陷，获取经身份验证用户会话的访问权限，进而可能导致信息泄露或进一步攻击。 (CVE-2017-12159)

    * 发现进行身份验证时，libpam4j 未能正确验证用户帐户。拥有已禁用帐户的有效密码的用户将能够绕过安全限制并可能访问敏感信息。 (CVE-2017-12197)

    * 据发现，Keycloak oauth 会允许经验证的资源从验证服务器获取令牌对的访问/刷新，进而可在权限撤销的情况下无限使用。已遭入侵资源上的攻击者可利用此缺陷为自身持续授予权限，并可能进行进一步攻击。 (CVE-2017-12160)

    Red Hat 感谢 Mykhailo Stadnyk (Playtech) 报告 CVE-2017-12158；感谢 Prapti Mittal 报告 CVE-2017-12159；并感谢 Bart Toersche (Simacan) 报告 CVE-2017-12160。CVE-2017-12197 问题由 Christian Heimes (Red Hat) 发现。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

rh-sso7-keycloakの更新プログラムがRHEL 6用のRed Hat Single Sign-On 7.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Single Sign-Onは、Keycloakプロジェクトに基づいたスタンドアロンのサーバーで、Webアプリケーションとモバイルアプリケーションに認証と標準ベースのシングルサインオン機能を提供します。Red Hat Single Sign-On 7.1.3のこのリリースは、Red Hat Single Sign-On 7.1.2を置き換え、バグ修正プログラムおよび拡張機能を含んでいます。詳細は、「参照」セクションにリンクされているリリースノートをご覧ください。セキュリティ修正プログラム：* keycloakが管理コンソールのHOSTヘッダURLを受け入れ、それを使ってWebリソースの場所を決定することが発見されました。攻撃者が認証されたユーザーに対してこの欠陥を悪用し、悪意のあるサーバー経由で反射型XSSを実行する可能性があります。（CVE-2017-12158）* KeycloakのCSRF防止に使用されるCookieが各セッションに固有ではないことが発見されました。攻撃者がこの欠陥を利用して認証されたユーザーセッションにアクセスし、情報漏えいやさらなる攻撃を実行する可能性があります。（CVE-2017-12159）*認証時にlibpam4jがユーザーアカウントを適切に検証しないことが判明しました。無効なアカウントの有効なパスワードを持つユーザーは、セキュリティ制限をバイパスし、秘密情報にアクセスする可能性があります。（CVE-2017-12197）* Keycloak認証は、認証されたリソースが認証サーバーからアクセス/リフレッシュトークンペアを取得することを許可し、アクセス許可が取り消された場合には無期限の使用を許可することが判明しました。すでに危殆化しているリソースに対する攻撃者がこの欠陥を利用して自分自身に継続的な権限を付与し、さらに攻撃を仕掛ける可能性があります。（CVE-2017-12160）Red HatはCVE-2017-12158を報告してくれたMykhailo Stadnyk氏（Playtech）、CVE-2017-12159を報告してくれたPrapti Mittal氏、CVE-2017-12160を報告してくれたBart Toersche氏（Simacan）に感謝の意を表します。CVE-2017-12197の問題は、Christian Heimes氏（Red Hat）によって発見されました。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:2905 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Single Sign-Onは、Keycloakプロジェクトに基づいたスタンドアロンのサーバーで、Webアプリケーションとモバイルアプリケーションに認証と標準ベースのシングルサインオン機能を提供します。

    Red Hat Single Sign-On 7.1.3のこのリリースは、Red Hat Single Sign-On 7.1.2を置き換え、バグ修正および強化を含んでいます。詳細は、「参照」セクションにリンクされているリリースノートをご覧ください。

    セキュリティ修正プログラム: 

    * keycloakは管理コンソールでHOSTヘッダーURLを受け入れ、それを使用してWebリソースの場所を決定することがわかりました。攻撃者がこの欠陥を認証されたユーザーに悪用し、悪意のあるサーバーを介して折り返し型XSSを達成する可能性があります。 （CVE-2017-12158）

    * KeycloakのCSRF防止に使用されるCookieが各セッションに固有ではないことが発見されました。攻撃者がこの欠陥を利用して、認証されたユーザーセッションへのアクセス権を取得し、情報漏えいやさらなる攻撃を引き起こす可能性があります。 （CVE-2017-12159）

    *認証時にlibpam4jがユーザーアカウントを適切に検証しないことが判明しました。無効化されたアカウントに対して有効なパスワードを持つユーザーが、セキュリティ制限をバイパスしたり、機密情報にアクセスしたりする可能性があります。 （CVE-2017-12197）

    * Keycloak認証は、認証されたリソースが認証サーバーからアクセス/リフレッシュトークンペアを取得することを許可し、アクセス許可が取り消された場合には無期限の使用を許可することが判明しました。すでに侵害されたリソースに対する攻撃者がこの欠陥を利用して、自身に継続的なアクセス許可を付与し、さらに攻撃を仕掛ける可能性があります。 （CVE-2017-12160）

    Red HatはCVE-2017-12158を報告してくれたMykhailo Stadnyk氏（Playtech）、CVE-2017-12159を報告してくれたPrapti Mittal氏、CVE-2017-12160を報告してくれたBart Toersche氏（Simacan）に感謝の意を表します。CVE-2017-12197の問題は、Christian Heimes氏（Red Hat）によって発見されました。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

PAMの統合用のJavaライブラリラッパーであるlibpam4jが、認証中にpam_acct_mgmt()を呼び出さないことが判明しました。
このため、有効なパスワードを持つユーザーが、停止されたまたは無効なアカウントでログインする可能性があります。

libpam.soのJavaバインディングであるlibpam4jがpam_acct_mgmt()を呼び出さないことが判明しました。その結果、PAMアカウントが適切に検証されません。有効なパスワードはあるが、アカウントを非アクティブ化または無効化したユーザーがログインできました。

Debian 7「Wheezy」では、これらの問題はバージョン1.4-2+deb7u1で修正されました。

お使いのlibpam4jパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

It was discovered that libpam4j, a Java library wrapper for the integration of PAM did not call pam_acct_mgmt() during authentication.
As such a user who has a valid password, but a deactivated or disabled account could still log in.

It was discovered that libpam4j, a Java binding for libpam.so, does not call pam_acct_mgmt(). As a consequence, the PAM account is not properly verified. Any user with a valid password but with deactivated or disabled account was able to log in.

For Debian 7 'Wheezy', these problems have been fixed in version 1.4-2+deb7u1.

We recommend that you upgrade your libpam4j packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An update for rh-sso7-keycloak is now available for Red Hat Single Sign-On 7.1 for RHEL 6.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Single Sign-On is a standalone server, based on the Keycloak project, that provides authentication and standards-based single sign-on capabilities for web and mobile applications.

This release of Red Hat Single Sign-On 7.1.3 serves as a replacement for Red Hat Single Sign-On 7.1.2, and includes several bug fixes and enhancements. For further information, refer to the Release Notes linked to in the References section.

Security Fix(es) :

* It was found that keycloak would accept a HOST header URL in the admin console and use it to determine web resource locations. An attacker could use this flaw against an authenticated user to attain reflected XSS via a malicious server. (CVE-2017-12158)

* It was found that the cookie used for CSRF prevention in Keycloak was not unique to each session. An attacker could use this flaw to gain access to an authenticated user session, leading to possible information disclosure or further attacks. (CVE-2017-12159)

* It was found that libpam4j did not properly validate user accounts when authenticating. A user with a valid password for a disabled account would be able to bypass security restrictions and possibly access sensitive information. (CVE-2017-12197)

* It was found that Keycloak oauth would permit an authenticated resource to obtain an access/refresh token pair from the authentication server, permitting indefinite usage in the case of permission revocation. An attacker on an already compromised resource could use this flaw to grant himself continued permissions and possibly conduct further attacks. (CVE-2017-12160)

Red Hat would like to thank Mykhailo Stadnyk (Playtech) for reporting CVE-2017-12158; Prapti Mittal for reporting CVE-2017-12159; and Bart Toersche (Simacan) for reporting CVE-2017-12160. The CVE-2017-12197 issue was discovered by Christian Heimes (Red Hat).

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2905 advisory.

    Red Hat Single Sign-On is a standalone server, based on the Keycloak project, that provides authentication     and standards-based single sign-on capabilities for web and mobile applications.

    This release of Red Hat Single Sign-On 7.1.3 serves as a replacement for Red Hat Single Sign-On 7.1.2, and     includes several bug fixes and enhancements. For further information, refer to the Release Notes linked to     in the References section.

    Security Fix(es):

    * It was found that keycloak would accept a HOST header URL in the admin console and use it to determine     web resource locations. An attacker could use this flaw against an authenticated user to attain reflected     XSS via a malicious server. (CVE-2017-12158)

    * It was found that the cookie used for CSRF prevention in Keycloak was not unique to each session. An     attacker could use this flaw to gain access to an authenticated user session, leading to possible     information disclosure or further attacks. (CVE-2017-12159)

    * It was found that libpam4j did not properly validate user accounts when authenticating. A user with a     valid password for a disabled account would be able to bypass security restrictions and possibly access     sensitive information. (CVE-2017-12197)

    * It was found that Keycloak oauth would permit an authenticated resource to obtain an access/refresh     token pair from the authentication server, permitting indefinite usage in the case of permission     revocation. An attacker on an already compromised resource could use this flaw to grant himself continued     permissions and possibly conduct further attacks. (CVE-2017-12160)

    Red Hat would like to thank Mykhailo Stadnyk (Playtech) for reporting CVE-2017-12158; Prapti Mittal for     reporting CVE-2017-12159; and Bart Toersche (Simacan) for reporting CVE-2017-12160. The CVE-2017-12197     issue was discovered by Christian Heimes (Red Hat).

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
103956	RHEL 6：rh-sso7-keycloak (RHSA-2017:2904)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/11/18	high
104467	Debian DSA-4025-1：libpam4j - 安全性更新	Nessus	Debian Local Security Checks	2017/11/9	2025/11/14	medium
104467	Debian DSA-4025-1：libpam4j - 安全更新	Nessus	Debian Local Security Checks	2017/11/9	2025/11/14	medium
104439	Debian DLA-1165-1：libpam4j 安全性更新	Nessus	Debian Local Security Checks	2017/11/8	2025/11/14	medium
103957	RHEL 7：rh-sso7-keycloak (RHSA-2017:2905)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/4/15	high
104439	Debian DLA-1165-1：libpam4j 安全更新	Nessus	Debian Local Security Checks	2017/11/8	2025/11/14	medium
103956	RHEL 6：rh-sso7-keycloak (RHSA-2017:2904)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/11/18	high
103957	RHEL 7：rh-sso7-keycloak (RHSA-2017:2905)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/4/15	high
103956	RHEL 6：rh-sso7-keycloak（RHSA-2017:2904）	Nessus	Red Hat Local Security Checks	2017/10/19	2025/11/18	high
103957	RHEL 7：rh-sso7-keycloak（RHSA-2017:2905）	Nessus	Red Hat Local Security Checks	2017/10/19	2025/4/15	high
104467	DebianDSA-4025-1：libpam4j - セキュリティ更新	Nessus	Debian Local Security Checks	2017/11/9	2025/11/14	medium
104439	Debian DLA-1165-1: libpam4jセキュリティ更新	Nessus	Debian Local Security Checks	2017/11/8	2025/11/14	medium
104467	Debian DSA-4025-1 : libpam4j - security update	Nessus	Debian Local Security Checks	2017/11/9	2025/11/14	medium
104439	Debian DLA-1165-1 : libpam4j security update	Nessus	Debian Local Security Checks	2017/11/8	2025/11/14	medium
103956	RHEL 6 : rh-sso7-keycloak (RHSA-2017:2904)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/11/18	high
103957	RHEL 7 : rh-sso7-keycloak (RHSA-2017:2905)	Nessus	Red Hat Local Security Checks	2017/10/19	2025/4/15	high

检测

插件搜索

high

medium

medium

medium

high

medium

high

high

high

high

medium

medium

medium

medium

high

high