CVE-2020-10770: fallo en keycloak
Publicada el · Actualizada el
72Vexday Risk Score
Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.
ssvc Actepss 70%
de la publicación al arma182 días
Publicada en NVD15 dic
1ª PoC+182d
VulnCheck+1133d
probabilidad de explotación
70%top 1% de las CVE
explotación observada
síVulnCheck
7 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Red Hatdocumento VEX ↗
Corregido
4 productos (10 componentes)
Red Hat Single Sign-On 7.4 for RHEL 6 Server · Red Hat Single Sign-On 7.4 for RHEL 7 Server · Red Hat Single Sign-On 7.4 for RHEL 8 · Red Hat Single Sign-On 7.4.5
No afectado
5 productos — porque el código vulnerable no está presente en el producto
Red Hat Decision Manager 7 · Red Hat Fuse 7 · Red Hat OpenShift Application Runtimes · Red Hat Process Automation 7 · Red Hat support for Spring Boot
A flaw was found in Keycloak before 13.0.0, where it is possible to force the server to call out an unverified URL using the OIDC parameter request_uri. This flaw allows an attacker to use this parameter to execute a Server-side request forgery (SSRF) attack.
Productos afectados
n/a · keycloakPoCs públicas encontradas — 7
exploitdbwww.exploit-db.com/exploits/50405no verificadogithubgithub.com/ColdFusionX/Keycloak-12.0.1-CVE-2020-10770★ 9githubgithub.com/0xlyvio/CVE-2020-10770-keycloak-exploit-poc★ 2vulncheckvulncheck.com/xdb/5cdd58213a9ano verificadovulncheckvulncheck.com/xdb/82c0a02ffc14no verificadocve_referencepacketstormsecurity.com/files/164499/Keycloak-12.0.1-Server-Side-Request-Forgery.htmlno verificadovulncheckvulncheck.com/xdb/22880fbf960ano verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.