Er is een beveiligingslek ontdekt in org.keycloak/keycloak-model-storage-service van Red Hat, aangeduid als CVE-2025-9162. Deze kwetsbaarheid stelt aanvallers in staat om via een injectie aangebrachte manipulaties uit te voeren tijdens het importeren van realm-documenten in de Keycloak-omgeving, door misbruik te maken van omgevingsvariabelen. Dit kan leiden tot schadelijke gevolgen binnen de Keycloak-opstelling.
Overzicht
De fout bevindt zich in de KeycloakRealmImport Custom Resource, waarbij placeholders in geïmporteerde realm-documenten worden vervangen, waardoor aanvallers mogelijk kwaadaardige inhoud kunnen injecteren in het Keycloak-systeem.
Aanbevelingen
Er is momenteel geen werkbare mitigatie beschikbaar die voldoet aan de Red Hat Product Security-criteria.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-9162?
CVE-2025-9162 is een kwetsbaarheid in Keycloak’s model storage service waarbij dochteren documentinhoud kunnen injecteren tijdens het importproces.
Welke systemen zijn kwetsbaar voor CVE-2025-9162?
Keycloak-implementaties die gebruikmaken van org.keycloak/keycloak-model-storage-service kunnen kwetsbaar zijn.
Bestaat er al een patch of beveiligingsupdate?
Er zijn momenteel geen updates of workarounds beschikbaar, zoals aangegeven door Red Hat.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan mogelijk schadelijke inhoud injecteren via gemanipuleerde realm-documenten, wat kan leiden tot ongewenste gevolgen in de Keycloak-omgeving.
