CVE-2020-1731
Publiée le 2020-03-02 · Dernière modification le 2026-06-17
Les installations de l'opérateur Keycloak sur OpenShift (antérieures à la version 8.0.2) sont affectées par une faille où le mot de passe administrateur généré aléatoirement ne change pas lors d'un redéploiement dans le même espace de noms (namespace). Un attaquant non authentifié disposant d'un accès réseau au serveur peut utiliser un mot de passe précédemment connu ou divulgué pour obtenir un contrôle administratif total sur le système. L'exécution de cette attaque est triviale car elle ne nécessite aucun privilège spécial ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in all versions of the Keycloak operator, before version 8.0.2,(community only) where the operator generates a random admin password when installing Keycloak, however the password remains the same when deployed to the same OpenShift namespace.