CVE-2019-14910
Publiée le 2019-12-05 · Dernière modification le 2026-06-17
Les installations de Keycloak 7.x utilisant la fédération LDAP avec StartTLS sont affectées par une faille qui permet l'authentification même si un mot de passe incorrect est fourni. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour obtenir un accès administratif ou utilisateur complet au système, simplement en connaissant un nom d'utilisateur valide. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur, et seulement un accès réseau basique au portail de connexion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was found in keycloak 7.x, when keycloak is configured with LDAP user federation and StartTLS is used instead of SSL/TLS from the LDAP server (ldaps), in this case user authentication succeeds even if invalid password has entered.