• 漏洞编号：CVE-2024-8698
• 漏洞等级：高危
• 漏洞标签：在野利用、关键漏洞、POC公开
• 发布时间：2023-10-09

漏洞描述

在Keycloak XMLSignatureUtil类的SAML签名验证方法中存在一个缺陷。该方法错误地根据XML文档中签名的位置来判断SAML签名是针对整个文档还是仅针对特定的断言，而不是使用Reference元素来指定已签名的元素。这个缺陷允许攻击者创建经过精心设计的响应，这些响应可以绕过验证，可能导致权限提升或冒充攻击。

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/373677