CVE-2025-11538mediumCWE-1327

CVE-2025-11538: fallo de gravedad media en keycloak

Keycloak-server: debug default bind address

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Red Hat build of Keycloak+ Monitorear keycloak

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.8epss 0.4%
En resumen

El modo de depuración de Keycloak expone un puerto de depuración Java a toda la red por defecto, permitiendo que atacantes en la misma red controlen remotamente el servidor y ejecuten código malicioso.

Detalle técnico

Cuando se habilita el modo de depuración con la flag --debug, el puerto JDWP se vincula a 0.0.0.0 en lugar de localhost, exponiéndolo a atacantes accesibles desde la red. Un atacante no autenticado con acceso a la red puede conectar un depurador remoto para lograr ejecución arbitraria de código dentro de la JVM de Keycloak sin requerir credenciales válidas.

Resumen generado y traducido por IA a partir de la descripción oficial.
A vulnerability exists in Keycloak's server distribution where enabling debug mode (--debug <port>) insecurely defaults to binding the Java Debug Wire Protocol (JDWP) port to all network interfaces (0.0.0.0). This exposes the debug port to the local network, allowing an attacker on the same network segment to attach a remote debugger and achieve remote code execution within the Keycloak Java virtual machine.
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Productos afectados
Keycloak · keycloakRed Hat · Red Hat build of Keycloak 26.4Red Hat · Red Hat build of Keycloak 26.4.4
CVEs relacionadas — keycloak

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-18963CRITICALKeycloak-services: keycloak-services: unauthenticated account takeover via reset-credentials flow bypassEPSS 6.6%CVE-2026-93567HIGHIo.netty/netty-codec-http2: http/1 authority-form connect is translated to malformed http/2 connect with host-controlled :authorityEPSS 2.9%CVE-2026-93569HIGHIo.netty/netty-codec-http2: http/1 absolute-form host mismatch is translated to http/2 :authority, overriding the request-target authorityEPSS 2.4%CVE-2026-93574MEDIUMIo.netty/netty-codec-http: netty: http request smuggling via post-digit whitespace in chunk-size parsingEPSS 1.7%CVE-2026-93558HIGHIo.netty/netty-codec-http: netty: unbounded per-connection queue growth in websocketserverextensionhandler leads to denial of serviceEPSS 1.2%CVE-2026-93579MEDIUMIo.netty/netty-codec-http2: netty: http/2 header field values are not validated by default (cr/lf/nul passthrough)EPSS 1.1%