یک نقص امنیتی در مکانیزم اجرای سطح احراز هویت (Level of Authentication) در راهکار مدیریت هویت و دسترسی Keycloak شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این مشکل زمانی رخ می‌دهد که یک Client برای کاربری که دارای یک Session فعال با سطح امنیتی پایین‌تر است، نیاز به سطح امنیتی بالاتری داشته باشد. به دلیل وجود یک خطای منطقی (Logic Error) در نحوه ارزیابی مجدد نشست‌ها، Keycloak ممکن است به جای الزام کاربر به ارتقای سطح امنیتی، به اشتباه توکنی با همان سطح امنیتی پایین‌تر صادر کند.
پیامدهای امنیتی
این نقص می‌تواند منجر به دسترسی غیرمجاز (Unauthorized Access) به منابع حساس شود، زیرا سیستم در برخی سناریوها قادر نیست سطح دسترسی مورد نیاز را به درستی تحمیل کند و اجازه می‌دهد کاربر با سطح احراز هویت پایین‌تر، به بخش‌های حساس دسترسی یابد.
