Keycloak: Race Condition in Speicherung fehlgeschlagener Logins mit MySQL/MariaDB
Zusammenfassung
Eine Race Condition in der Speicherung fehlgeschlagener Logins von Keycloak kann den Datenbankeintrag eines Benutzers sperren, wenn viele fehlgeschlagene Logins für dasselbe Konto gleichzeitig auftreten. Betroffen sind nur Multi-Node-Umgebungen, die MySQL oder MariaDB verwenden. Ein Angreifer kann legitime Anmeldungen für gezielte Konten blockieren und die Genauigkeit des Brute-Force-Schutzes verringern, wodurch mehr Passwort-Versuche möglich werden. Die Ausnutzung erfordert Netzwerkzugriff und eine Race Condition mit hoher Komplexität, jedoch keine Berechtigungen und keine Benutzerinteraktion.
Betroffen
- Keycloak keycloak-services 26.8.0 bis 26.8.1 (gemäss CVE-Eintrag)
- Red Hat build of Keycloak und Red Hat Single Sign-On 7: vom CNA als betroffen aufgeführt, Versionen nicht bestätigt
- Ältere Zweige: Unbekannt.
Behoben in
- Keycloak 26.8.2 (als Sicherheitskorrektur im Upstream-Release aufgeführt)
- Red Hat build of Keycloak: Unbekannt. Red Hat CVE-Seite und Bug-Report prüfen.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround. Laut Red Hat ist keine Mitigation verfügbar oder geeignet.
- Übergangsweise: Logs auf Kontosperren und Serien fehlgeschlagener Logins gegen einzelne Konten überwachen und sicherstellen, dass der Brute-Force-Schutz aktiviert ist.
Ausnutzung
- Im Rahmen der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
- VulDB stuft die Schwachstelle als kritisch ein, dies ist jedoch eine automatische Schätzung und widerspricht dem CVSS-Score des CNA (medium, 4.8).
Unsere Empfehlung
- Prüfen, ob Keycloak als Multi-Node-Cluster mit MySQL oder MariaDB betrieben wird. Falls ja, diese Schwachstelle priorisieren.
- Auf Keycloak 26.8.2 oder einen korrigierten Red-Hat-Build aktualisieren; die korrigierte Version beim Hersteller bestätigen.
- Kontosperren und wiederholte fehlgeschlagene Logins gegen einzelne Konten überwachen.
- Andernfalls das Update im Rahmen der regulären Wartung einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-112201 www.cve.org
- Red Hat CVE page CVE-2026-112201 access.redhat.com
- Red Hat Bugzilla 2555463 bugzilla.redhat.com
- Keycloak upstream issue 54687 github.com
- Keycloak 26.8.2 release github.com
- Keycloak security advisory GHSA-gc7q-jgjv-vjr2 github.com
- VulDB entry 435781 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.