Aller au contenu
en Se connecter
7.1 Élevée

CVE-2024-7341 A session fixation issue was discovered in the SAML adapters provided by Keycloak

Description

A session fixation issue was discovered in the SAML adapters provided by Keycloak. The session ID and JSESSIONID cookie are not changed at login time, even when the turnOffChangeSessionIdOnLogin option is configured. This flaw allows an attacker who hijacks the current session before authentication to trigger session fixation.

Produits et versions touchés

Produit Versions touchées Corrigé en
Red Hat Build of Keycloak Versions non publiées
Red Hat build of Keycloak 22 22 premières → < 22-20 22-20
Red Hat build of Keycloak 24 24 premières → < 24-16 24-16
Red Hat Single Sign-On 7 Versions non publiées
Red Hat Single Sign-On 7.6 for RHEL 7 Versions non publiées
Red Hat Single Sign-On 7.6 for RHEL 8 Versions non publiées
Red Hat Single Sign-On 7.6 for RHEL 9 Versions non publiées
RHEL-8 based Middleware Containers 7.6 premières → < 7.6-52 7.6-52
Red Hat JBoss Enterprise Application Platform 8 Versions non publiées
Afficher l’autre branche
Produit Versions touchées Corrigé en
Red Hat Single Sign-On 7.0 Versions non publiées

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de Red Hat Build of Keycloak

Les 266 CVE de Red Hat Build of Keycloak →
CVE-2026-97847 Keycloak-services: keycloak-services: client manager can substitute sessionless token principal via hardcoded-claim mappers to obtain realm administrator authority 7.1 Élevée CVE-2026-97175 Keycloak-services: keycloak-services: unverified idp email auto-linking enables account takeover 8.8 Élevée CVE-2026-97174 Keycloak-services: keycloak-services: ciba sub parameter injection causes attacker authentication to issue victim tokens 6.8 Moyenne CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates 8.0 Élevée
Suivre cette CVE