CERT Santé: Red Hat — CVE-2026-117691, November 6, 2026
Il s’agit d’une vulnérabilité dans l’ implémentation du binding SAML HTTP-Redirect de Keycloak , au niveau du composant keycloak-services .
Keycloak est une solution libre de gestion des identités et des accès, qui assure l’authentification unique et la fédération d’identité pour les applications et services.
Le serveur décode les noms de paramètres encodés en pourcentage , par exemple %53AMLResponse , alors que la vérification de signature relit la requête brute et ne reconnaît que les noms littéraux. L’attaquant envoie une requête GET qui place un SAMLResponse forgé et non signé en premier avec un nom encodé, suivi d’un SAMLResponse légitimement signé . La signature valide le second message, mais Keycloak traite le premier. L’attaquant doit posséder son propre compte sur le fournisseur d’identité externe pour récupérer un message signé en redirection, comme une réponse de déconnexion.
Elle permet à un attaquant distant et non authentifié de réaliser une prise de contrôle complète des comptes d’utilisateurs fédérés par usurpation de leur identité dans l’assertion SAML.
[Score CVSS v3.1 : 9.1]
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Systèmes ou composants affectés
Keycloak versions antérieures à 26.8.2.
Keycloak versions antérieures à 26.8.2.
Keycloak branches 26.7 (fin de support), 26.6 et 26.4 : aucune version corrigée publiée, donc toutes les versions de ces branches sont à considérer comme vulnérables.
Red Hat Build of Keycloak (composants keycloak-services et rhbk/keycloak-rhel9) : toutes les versions actuelles sont affectées et aucun erratum n’est publié à ce jour.
Solutions ou recommandations
The full story
This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.
