Keycloak-services: keycloak-services: required signed-jwt assertion policy can be bypassed with unsigned assertion headers

Keycloak provides a mechanism called Client Policies to enforce security requirements on clients, such as requiring them to use signed JWTs for authentication. A flaw was discovered where this enforcement can be bypassed. An attacker with valid client credentials can provide a fake, unsigned assertion header that tricks the system into thinking the policy requirements have been met. This allows the attacker to authenticate using simpler methods like a client secret even when the administrator has mandated more secure, signed assertions.

Ein Angreifer kann mehrere Schwachstellen in Keycloak ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren und vertrauliche Informationen offenzulegen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 22 Jul 2026, published on 22 July 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

Keycloakは、クライアントに対して署名済みJWTの使用を要求するなど、セキュリティ要件を強制するためのクライアントポリシーという仕組みを提供しています。しかし、この強制機能を回避できる脆弱性が発見されました。有効なクライアント資格情報を持つ攻撃者は、偽の未署名のアサーションヘッダーを提供することで、システムがポリシー要件を満たしていると誤認する可能性があります。これにより、管理者がより安全な署名済みアサーションを義務付けていても、攻撃者はクライアントシークレットのような簡易な方法で認証できてしまうのです。