키클록 26.7.4 공개, CVE 6건 보안 수정
조회 0 · 댓글 0
인증, 인가 오픈소스인 키클록(Keycloak)이 9월 16일 26.7.4를 공개했습니다. 보안 패치 릴리스이고, CVE 6건을 한꺼번에 수정합니다. 로그인이나 SAML 엔드포인트를 외부에 노출한 배포라면 서둘러 올리는 게 좋겠습니다.
수정된 항목은 다음과 같습니다.
- CVE-2026-17526 - impersonation 롤을 가진 사용자가 렘(realm) 관리자를 가장할 수 있는 권한 상승. 사실상 렘 전체 관리 권한을 탈취당하는 문제다.
- CVE-2026-79651 - 로케일 캐시가 무한정 쌓여 인증 없이 서비스 거부(DoS)를 일으킬 수 있는 문제.
- CVE-2026-19607 - 사용자명 탈취로 피해자 계정을 잠가버리는 문제.
- CVE-2026-74909 - 퍼센트 인코딩된 세미콜론이 PathMatcher의 매트릭스 파라미터 제거를 우회하던 이전 수정의 미완결 건.
- CVE-2026-90997 - MySQL, MariaDB 기본 행 카운트 처리 때문에 재사용된 아티팩트를 리플레이 방지 게이트가 통과시키던 문제.
- CVE-2026-18212 - SAML 리다이렉트 DEFLATE 헬퍼가 네이티브 zlib 상태를 누출하던 문제.
권한 상승과 인증 없는 DoS가 함께 들어 있어 방치하기 어려운 조합입니다. 특히 CVE-2026-17526은 impersonation 롤을 위임해 운영하는 조직이라면 바로 영향권에 들어갑니다.
키클록은 레드햇이 주도하는 프로젝트로, 자체 인증 서버를 두고 OIDC나 SAML로 SSO를 붙이는 현장에서 널리 쓰입니다. 업그레이드 전에는 공식 마이그레이션 가이드에서 변경점을 먼저 확인하라고 안내하고 있습니다. 26.7.x를 쓰고 있다면 26.7.4로 올리면 됩니다.
로그인 후 답글을 남길 수 있습니다.