EXPLOIT PÚBLICODetectada 07 NOV · 10:45

CVE-2026-117691 Evasión de autenticación en el binding HTTP-Redirect de SAML de Keycloak

Una falla en la implementación del binding HTTP-Redirect de SAML de Keycloak permite que el servidor procese nombres de parámetros codificados en porcentaje (como %53AMLResponse) mientras la verificación de firma solo revisa nombres literales. Un atacante puede enviar un mensaje SAML manipulado y sin firmar que el servidor procesa en lugar de uno firmado legítimamente, lo que permite la toma de control total de cuentas de usuarios federados.

9.1CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

Red Hat Red Hat Build of Keycloak
Versiones no especificadas.
Red Hat Red Hat Build of Keycloak
Versiones no especificadas.
Red Hat Red Hat Single Sign-On 7
Versiones no especificadas.

Qué hacer

Verificá si usás Red Hat Build of Keycloak.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

foxcornlab/keycloak-saml-scanner Detection-only triage for CVE-2026-117691 (CVSS 9.1): Keycloak SAML HTTP-Redirect binding signature bypass, fixed in 26.8.207 NOV · 10:45

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadNinguna

Descripción original

A flaw was found in the SAML HTTP-Redirect binding implementation of Keycloak. The issue occurs because the server processes percent-encoded parameter names (like %53AMLResponse) while the signature verification logic only checks literal parameter names. An attacker can use this discrepancy to provide a crafted, unsigned SAML message that the server processes instead of a legitimately signed one, leading to full account takeover of federated users.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.