키클록(Keycloak) 26.7.2 보안 릴리스 - 인증 없이 계정 탈취 가능한 CVE 등 8건 수정
1. 개요
오픈소스 인증 인가 서버 키클록(Keycloak)이 지난 8월 19일 26.7.2 보안 릴리스를 내놨습니다. 이번 릴리스에서 CVE 8건을 한 번에 수정했는데, 그중 가장 심각한 것이 CVE-2026-18963입니다. 레드햇이 매긴 CVSS 점수가 9.1이고, 인증 없이 임의 계정을 탈취할 수 있는 결함입니다. 서버를 직접 운영 중이라면 미루지 말고 올려두는 편이 좋아 보입니다.
2. 무슨 문제인가
CVE-2026-18963은 자격증명 재설정(reset-credentials) 처리 과정에서 상태 검증이 제대로 되지 않는 데서 나옵니다. 공격자가 reset-credentials 엔드포인트로 조작한 요청을 보내면, 이메일로 전달되는 액션 토큰을 거치지 않고 인증 세션이 곧바로 비밀번호 변경 단계로 넘어갑니다. 이 방식으로 관리자 계정을 포함한 어떤 사용자든 넘길 수 있습니다. 다만 릴리스 시점 기준으로 실제 악용 사례나 공개된 익스플로잇은 확인되지 않았습니다.
3. 함께 수정된 항목
계정 탈취와 관련된 결함이 하나 더 있습니다. CVE-2026-15571은 계정 연결(account-linking) 해시가 예측 가능해, 악의적인 OIDC 클라이언트를 통해 계정을 탈취할 수 있는 문제입니다. 이 밖에 수정된 항목은 아래와 같습니다.
- CVE-2026-17048: 관리자 REST API가 볼트에서 해석된 회전 클라이언트 시크릿을 노출
- CVE-2026-14613: 역할 그룹 엔드포인트를 통한 세분화 관리자 권한(FGAP) 우회
- CVE-2026-15945: FGAP v2에서 그룹 계층 검색이 숨겨진 상위 그룹을 노출
- CVE-2026-45292, CVE-2026-59888, CVE-2026-59889: OpenTelemetry Java SDK와 jackson-databind 등 의존 라이브러리 취약점(업그레이드로 대응)
4. 대응
업스트림 키클록은 26.7.2로 올리면 됩니다. 레드햇 빌드 사용자는 26.4.15와 26.6.6에 배포된 업데이트를 적용하라고 안내하고 있습니다. 업그레이드 전에는 마이그레이션 가이드에서 변경 사항을 먼저 확인하라고 권고합니다. 현재 버전은 아래처럼 확인할 수 있습니다.
kc.sh --version
로그인 후 답글을 남길 수 있습니다.