Zaloguj się
Deutsch English Español Polski
Średnia

Keycloaks's One Time Passcode (OTP) is valid longer than expiration timeSeverity

  • Ujawniono: 14.10.2024
  • Aktualizacja: 11.10.2026 13:20

A vulnerability was found in Keycloak. Expired OTP codes are still usable when using FreeOTP when the OTP token period is set to 30 seconds (default). Instead of expiring and deemed unusable around 30 seconds in, the tokens are valid for an additional 30 seconds totaling 1 minute. A one time passcode that is valid longer than its expiration time increases the attack window for malicious actors to abuse the system and compromise accounts. Additionally, it increases the attack surface because at any given time, two OTPs are valid.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.keycloak:keycloak-core < 24.0.7, >= 25.0.0, < 25.0.4 24.0.7, 25.0.4

Odnośniki

Ocena CVSS 4.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-324
Platforma
Java / Kotlin (Maven)
Paczka
org.keycloak:keycloak-core
Ujawniono
14.10.2024
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xmmm-jw76-q7vg - CC BY 4.0

Historia podatności: org.keycloak:keycloak-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (49) w archiwum
Wszystkich wpisów
49
Pierwsza → ostatnia
10.2018 02.2025
Bez poprawki
5
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 14
  • Średnia 31
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Keycloak mTLS Authentication Bypass via Reverse Proxy TLS Termination
    Wysoka · 7.1 CVE-2024-10039 < 26.0.6 26.0.6
  2. Keycloaks's One Time Passcode (OTP) is valid longer than expiration timeSeverity ten wpis
    Średnia · 4.8 CVE-2024-7318 < 24.0.7, >= 25.0.0, < 25.0.4 24.0.7, 25.0.4
  3. Keycloak Denial of Service vulnerability
    Wysoka · 6.5 CVE-2023-6841 < 24.0.0 24.0.0
  4. Keycloak vulnerable to Plaintext Storage of User Password
    Wysoka · 8.8 CVE-2023-4918 >= 22.0.2, < 22.0.3 22.0.3
  5. Keycloak allows anyone to register new security device or key for any user by using WebAuthn password-less login flow
    Wysoka · 7.5 CVE-2021-3632 < 15.1.0 15.1.0
  6. keycloak vulnerable to unauthorized login via mail server setup
    Krytyczna · 9.1 CVE-2019-14837 < 8.0.0 8.0.0
  7. Authentication Bypass in keycloak
    Wysoka · 8.8 CVE-2020-27826 < 12.0.0 12.0.0
  8. Temporary Directory Hijacking Vulnerability in Keycloak
    Wysoka · 7.3 CVE-2021-20202 < 13.0.0 13.0.0
  9. Improper Input Validation in Keycloak
    Wysoka · 8.8 CVE-2020-1714 < 11.0.0 11.0.0
  10. Improper privilege management in Keycloak
    Wysoka · 8.1 CVE-2020-14389 < 12.0.0 12.0.0
  11. Privilege Defined With Unsafe Actions in Keycloak
    Wysoka · 7.2 CVE-2019-10170 < 8.0.0 8.0.0
  12. keycloak Self Stored Cross-site Scripting vulnerability
    Krytyczna · 9.6 CVE-2021-20195 < 13.0.0 13.0.0
  13. Predictable password in Keycloak
    Krytyczna · 9.8 CVE-2020-1731 < 8.0.2 8.0.2
  14. Improper Input Validation and Cross-Site Request Forgery in Keycloak
    Wysoka · 8.8 CVE-2019-10199 < 7.0.0 7.0.0
  15. Improper Authentication in Keycloak
    Wysoka · 8.1 CVE-2018-14637 < 4.6.0 4.6.0
  16. Keycloak vulnerable to uncontrolled resource consumption
    Wysoka · 7.5 CVE-2014-3651 < 1.0.3 1.0.3
  17. Keycloak vulnerable to infinite loop based Denial of Service
    Wysoka · 7.5 CVE-2017-2646 < 2.5.5 2.5.5
  18. Improper Authentication in org.keycloak:keycloak-core
    Wysoka · 8.1 CVE-2016-8609 < 2.3.0 2.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.