TGViewer
Нарыл Нарыл @naryl_sec · 1.49K subscribers
Post #32 3.74K
По умолчанию в Keycloak пользователям по адресу http://keycloak/realms/<realm_name>/account доступен довольно аскетичный интерфейс личного кабинета (на скриншоте).

В этом маленьком кабинете можно сменить себе в том числе email.

И это - проблема безопасности! Если клиент OIDC/OAuth, подключенный к Keycloak, завязывает своих пользователей не на поле preferred_username из токена, а на email, то его можно обмануть.

Ставим себе чужой email, перезаходим в клиента и получаем права другого пользователя.

Надо только учитывать что если требуемый email уже активен у одного из пользователей в Keycloak, то установить его себе не получится. Однако можно:
1) Устанавливать себе email недавно уволенных или по другим причинам удаленных из keycloak сотрудников, возможно они будут активны в клиенте.
2) Устанавливать себе email системных учеток, которые есть в клиентах, например, в клиенте может быть встроенная учетка администратора с email вбитом "от балды", вроде admin@company.com.

Один из возможных способов защиты при использовании LDAP как User Federation - установить Edit Mode в значение READ_ONLY.
  • 👍 8
  • 🔥 4
  • 😱 3
More from @naryl_sec
  1. Sep 9, 2024Gitlab pre_build_script. Part 2 Так что же делать чтобы after_script не выполнялся после п…
  2. Aug 29, 2024Gitlab pre_build_script Иногда есть необходимость дополнительно защитить Gitlab Runner. На…
  3. Aug 19, 2024OFFZONE_CYBERED_SPECIAL - промокод на скидку на воркшопы OFFZONE (не только мой)
  4. Aug 19, 2024🔧 Воркшоп «Ломаем CI/CD 2.0» На воркшопе вы изучите работу с секретами в CI/CD и научитес…
  5. Aug 19, 2024Второй год подряд буду проводить воркшоп на Offzone.
  6. May 24, 2024Запись моего выступления на PHDays: https://phdays.com/forum/broadcast/?talk=645&tag=offen…
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →