Keine drei Wochen nach dem letzten Sicherheitsupdate liefert das Open-Source-Identity-Projekt Keycloak am 13. Oktober gleich die nächste Runde: Version 26.8.1 schließt 19 Sicherheitslücken — und eine davon ist besonders unangenehm, weil sie den unauthentifizierten Login als beliebiger Nutzer erlaubt.
DER HAMMER: Anmeldung ohne echtes Passwort
Im Zentrum des Updates steht ein Fehler in der SAML-HTTP-Redirect-Bindung: Die Signaturprüfung des Servers bezieht sich auf einen anderen SAMLResponse-Wert als denjenigen, der tatsächlich verarbeitet wird — ausgelöst durch die Art, wie der Server das Trennzeichen ; in der Query-String interpretiert. Wer diesen Unterschied ausnutzt, kann sich als beliebiger Nutzer anmelden, ohne dessen Passwort zu kennen.
Wichtig zur Einordnung: Für diese konkrete Lücke liegt bislang keine eigene CVE-Nummer mit CVSS-Bewertung vor — anders als bei den übrigen 19 behobenen Fehlern. Das mindert die praktische Gefahr nicht: Ein funktionaler Login-Bypass ist unabhängig von einer Punktzahl ein ernstes Problem, gerade wenn Keycloak als zentraler SSO-Türsteher für mehrere Dienste gleichzeitig arbeitet.
DIE ÜBRIGEN 19 LÜCKEN: Viel Kleinvieh, ein harter Brocken
Von den regulär nummerierten Fehlern erreicht keiner eine kritische Eigen-Wertung — die Spanne bei Keycloaks eigenem Code liegt zwischen CVSS 3,1 und 6,8. Zu den praktisch relevantesten zählen:
- OIDC-Identitätsanbieter-Client-Secret-Wiederverwendung nach einer Token-URL-Änderung (CVSS 5,5)
- Delegierte Admin-Rechte eskalieren über Gruppenmitgliedschaft bis zum Realm-Administrator (CVSS 6,6)
- 2FA-Einrichtung umgehbar über einen Neustart der Authentifizierungs-Session (CVSS 3,1)
- Mögliches KDC-Spoofing, wenn Kerberos-Passwort-Authentifizierung aktiv ist (CVSS 6,8)
- Standard Token Exchange v2 umgeht die mTLS-Bindung an den Besitznachweis (CVSS 6,8)
Die höchste Einzel-Wertung im gesamten Bündel trifft allerdings keine Keycloak-eigene Komponente, sondern eine Abhängigkeit: jackson-databind erhält mit einer quadratischen Laufzeit-Schwachstelle bei der Deserialisierung die Note CVSS 7,5 (HIGH) — ein Denial-of-Service-Risiko, kein Datenleck.
WARUM DAS FÜR DEIN HOMELAB ZÄHLT
Keycloak ist im Self-Hosting-Umfeld der De-facto-Standard für Single Sign-On: Wer Nextcloud, Immich, Grafana oder einen Reverse-Proxy mit zentraler Anmeldung absichert, hat mit großer Wahrscheinlichkeit Keycloak oder eines seiner Forks im Einsatz. Ein Login-Bypass an dieser zentralen Stelle wirkt sich nicht nur auf einen Dienst aus, sondern potenziell auf alles, was über denselben Identity-Server abgesichert ist.
Besonders betroffen sind dabei Installationen, die SAML-Broker nutzen, um sich gegenüber externen Identitätsanbietern auszuweisen — reine OIDC-Setups ohne SAML-Komponente sind von der Hauptlücke dieser Runde nicht direkt betroffen, sollten die übrigen 19 Fixes aber trotzdem einspielen.
SO AKTUALISIERST DU — in 3 SCHRITTEN
- Update einspielen: Auf Version 26.8.1 aktualisieren, Release Notes auf GitHub (
keycloak/keycloak, Tag 26.8.1) als Referenz nutzen. - SAML-Broker-Konfiguration prüfen: Wer SAML-Identity-Provider eingebunden hat, sollte nach dem Update die Anmelde-Flows testen und auffällige Logins der letzten Wochen rückblickend prüfen.
- Admin-Gruppenrechte kontrollieren: Wegen der Eskalations-Lücke bei delegierten Admins lohnt ein Blick, welche Gruppen aktuell
manage-users-Rechte besitzen und ob das wirklich nötig ist.
FAZIT: Nicht jede ernste Lücke hat schon eine Hausnummer
Der Fall zeigt eine Lehre, die über Keycloak hinausreicht: Eine fehlende oder noch ausstehende CVSS-Bewertung bedeutet nicht automatisch geringe Gefahr. Der SAML-Bypass in dieser Runde ist funktional einer der ernsteren Fehler, die ein SSO-System überhaupt haben kann — unabhängig davon, ob ihm bereits eine Nummer zugewiesen wurde. Wer Keycloak betreibt, sollte diese Runde nicht aufschieben, nur weil die Schlagzeile ohne eine große rote CVSS-Zahl auskommt.