키클록 26.8.2 공개, 보안 34건 수정
인증/인가 서버로 많이 쓰는 키클록(Keycloak)이 11월 5일 26.8.2를 내놓으면서 보안 수정 34건을 한꺼번에 반영했습니다. 공식 릴리스 노트에는 CVE 번호가 붙은 항목들이 나열돼 있고, 대부분 26.8.0과 26.8.1에서 유입된 결함입니다. 개수만 보면 평소 패치 릴리스와는 규모가 다릅니다.
수정 목록 중 눈에 띄는 것은 번들로 포함된 브로틀리(Brotli) 디코더의 경계 밖 쓰기(CVE-2026-111497)입니다. 앞서 브로틀리 디코더 자체에서 원격 코드 실행 취약점이 공개된 바 있는데, 키클록이 이 라이브러리를 품고 있어 같은 계열 문제가 제품 쪽으로 넘어온 모양새입니다. 이 외에 kcSanitize 우회를 통한 저장형 XSS(CVE-2026-107889), id_token_hint 주입을 통한 세션 탈취(CVE-2026-107124), 조직 아이덴티티 우선 로그인에서 오래된 SSO 노트로 인한 계정 탈취(CVE-2026-112208) 같은 인증 경로 결함이 포함됐습니다.
인증 없이 때릴 수 있는 가용성 문제도 여러 건입니다. 비인증 요청으로 디스크를 고갈시키는 결함(CVE-2026-110932), SAML 엔드포인트 서비스 거부(CVE-2026-107123), SAML 파서 루프로 JVM 자체를 종료시키는 문제(CVE-2026-110931)가 함께 잡혔습니다. 디바이스 인가 그랜트 우회(CVE-2026-105305)처럼 플로우 강제를 빠져나가는 항목도 있어서, SAML이나 디바이스 그랜트, 조직 기능을 켜둔 환경은 영향 여부를 개별로 확인하는 편이 안전합니다.
적용은 26.8.2로 올리는 것이 기본입니다. 릴리스 노트는 업그레이드 전에 마이그레이션 가이드로 변경점을 먼저 확인하라고 안내하고 있어, 26.8 계열이 아닌 구버전을 쓰는 곳은 단순 패치가 아니라 버전 이동이 필요할 수 있습니다. 스프링 시큐리티 등으로 이 서버를 OIDC/SAML IdP로 물려 쓰는 서비스라면 운영자가 현재 버전과 활성 프로토콜부터 점검해 보시길 권합니다.
로그인 후 답글을 남길 수 있습니다.