CVE-2026-117691: Keycloak SAML Signature Bypass

Bypass firma SAML in Keycloak via percent-encoded parameters (CVSS 9,1): account takeover per utenti federati.

Il CVE-2026-117691 rappresenta una vulnerabilità critica nel binding SAML HTTP-Redirect di Keycloak. La falla sfrutta una discrepanza tra parsing e verifica firma: il server elabora nomi percent-encoded (%53AMLResponse anziché SAMLResponse) mentre la firma è verificata solo su nomi letterali. Un attaccante sottopone un messaggio SAML contraffatto non firmato, elaborato dal server al posto di uno legittimo.

Con CVSS 9,1 (critical), l'impatto è account takeover completo di utenti SAML senza autenticazione pregressa. Accesso remoto. Pubblicato NVD il 5 novembre 2026, con 2 segnalazioni X nelle ultime 24 ore (5 interazioni). Non confermato exploit pubblico in repository noti.

Verificare versione Keycloak in uso e consultare advisory ufficiale per patch. Pianificare upgrade prioritario. Analizzare log SAML della settimana precedente per anomalie e sessioni non autorizzate. Testare patch in ambiente non-produttivo. Fino al fix, intensificare controlli accesso e monitoraggio SAML.

In sintesi

Cosa: CVE-2026-117691 è una falla nell'implementazione SAML HTTP-Redirect di Keycloak. Il server elabora nomi di parametri percent-encoded (es. %53AMLResponse) mentre la verifica della firma controlla solo nomi letterali. Un attaccante sottopone un messaggio SAML contraffatto e non firmato, elaborato dal server al posto di uno legittimamente firmato.
Gravità: CVSS 9,1 (critical). Impatto: account takeover completo di utenti federati. Accesso non richiede autenticazione pregressa. Raggiungibile da remoto.
Versioni interessate: Non riportato nella descrizione ufficiale NVD. Verificare documentazione ufficiale di Keycloak e bulletin di sicurezza del progetto.
Correzione: Non riportato. Attendere update di sicurezza dal progetto Keycloak. Monitorare advisory ufficiali per patch e versioni corrette.
Stato: Pubblicato NVD il 2026-11-05. Segnalato su X nelle ultime 24 ore (2 post, 5 interazioni totali). Non confermato exploit pubblico in repository noti.
Azione: 1. Verificare versione Keycloak in uso. 2. Consultare advisory ufficiale di Keycloak. 3. Pianificare upgrade prioritario. 4. Analizzare log SAML per anomalie e sessioni non autorizzate della settimana precedente. 5. Testare patch in ambiente non-produttivo prima del deployment.

Fonti: NVD, CVE-2026-117691

← Tutti gli articoli