脆弱性
Red Hat Build of Keycloak のアイデンティティブローカー機能の中核である keycloak-services コンポーネントに、SAML メタデータインポートに関する脆弱性が存在する。特定の属性が欠落したアイデンティティプロバイダー（IdP）のメタデータをインポートした際、システムが誤って SAML レスポンスの署名検証を無効化してしまう。このため、認証されていない攻撃者が SAML レスポンスを偽造し、外部識別子を知っているユーザーアカウントへ不正にアクセスする恐れがある。
対象ソフト
Keycloakは、モダンなアプリケーションやサービス向けのオープンソースの認証・認可管理ソリューションである。シングルサインオン（SSO）機能を提供し、多くの組織でシングルサインオン（SSO）の認証基盤として利用されている。
影響
認証されていない攻撃者が SAML レスポンスを偽造することで、正規ユーザーへのなりすましが行われ、不正にアカウントへアクセスされる可能性がある。
