Una vulnerabilidad crítica en Keycloak permite el robo de cuentas mediante reinicio de contraseñas

Red Hat y el proyecto Keycloak han lanzado parches para resolver una vulnerabilidad crítica en su servidor de gestión de identidad y acceso, que podría permitir a un atacante remoto no autenticado tomar el control de cualquier cuenta de usuario mediante el reinicio forzado de su contraseña. La brecha, identificada como CVE-2026-18963, tiene una puntuación de 9.1 en el sistema de puntuación CVSS, lo que la sitúa como una de las vulnerabilidades más peligrosas según el criterio de Red Hat.

Keycloak es un software de código abierto ampliamente utilizado para gestionar identidades y accesos en sistemas empresariales y de la nube. Su función principal es permitir a los usuarios iniciar sesión y acceder a diferentes aplicaciones con una única credencial. Esta vulnerabilidad, si no se corrige, podría comprometer la seguridad de cualquier sistema que utilice Keycloak, especialmente si no se tienen medidas de seguridad adicionales en lugar de la autenticación de dos factores.

Detalles técnicos de la vulnerabilidad

La vulnerabilidad afecta a la funcionalidad de reinicio de contraseña de Keycloak, que permite a los usuarios recuperar su cuenta si olvidan la contraseña. Sin embargo, los investigadores han descubierto que un atacante no autenticado podría explotar esta funcionalidad de manera maliciosa, forzando a un usuario a cambiar su contraseña sin su conocimiento.

Cómo se puede explotar

• El atacante envía una solicitud a la API de reinicio de contraseña de Keycloak.
• Esta solicitud incluye un parámetro que se usa para identificar al usuario, como su dirección de correo electrónico o un identificador único.
• Keycloak, sin verificar adecuadamente la autenticación del usuario, procesa la solicitud y envía un mensaje de reinicio de contraseña.
• El atacante puede interceptar el mensaje o manipularlo para forzar al usuario a cambiar su contraseña.

Este método no requiere que el atacante tenga conocimiento previo de la contraseña del usuario, ni que esté registrado en el sistema. Solo necesita acceder al endpoint de reinicio de contraseña, lo que en muchos casos es accesible sin autenticación adicional.

Impacto de la vulnerabilidad

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante tomar el control de cualquier cuenta de usuario, incluso si no tiene ninguna credencial inicial. Esto podría llevar a la exposición de datos sensibles, el acceso no autorizado a sistemas críticos, y la posibilidad de propagar ataques más amplios dentro de la red de una organización.

Consecuencias para la seguridad

Una vez que un atacante tiene acceso a una cuenta de usuario, puede:

• Acceder a aplicaciones y servicios protegidos por Keycloak.
• Modificar la configuración del sistema o eliminar datos críticos.
• Crear nuevas cuentas con permisos elevados.
• Utilizar la cuenta para realizar ataques de tipo phishing o social engineering contra otros usuarios.

Además, la vulnerabilidad pone de manifiesto la importancia de la validación de la autenticación en sistemas de gestión de identidades. Muchos sistemas de este tipo dependen de la autenticación de dos factores o de mecanismos de verificación adicionales para proteger contra este tipo de ataques.

Respuesta del proyecto Keycloak

El equipo de Keycloak ha lanzado parches oficiales para corregir esta vulnerabilidad en las versiones más recientes del software. Los usuarios deben actualizar a las versiones más recientes de Keycloak para garantizar que su sistema esté protegido contra esta brecha. Red Hat, que actúa como mantenedor principal del proyecto, ha recomendado revisar las configuraciones existentes para asegurar que no haya configuraciones que permitan el acceso no autorizado a las funciones de reinicio de contraseña.

Recomendaciones para usuarios y administradores

Los usuarios y administradores de sistemas que utilizan Keycloak deben seguir estas recomendaciones:

1. Actualizar a la última versión de Keycloak, donde se han aplicado los parches correspondientes.
2. Implementar mecanismos de autenticación de dos factores (2FA) para todas las cuentas críticas.
3. Configurar correctamente los permisos y las restricciones de acceso a la API de reinicio de contraseña.
4. Realizar revisiones periódicas de las configuraciones de seguridad de Keycloak para prevenir nuevas vulnerabilidades.

La comunidad de usuarios de Keycloak ha mostrado una reacción positiva ante la rápida respuesta del equipo y la disponibilidad de parches oficiales. Sin embargo, es crucial que los administradores activen las actualizaciones de seguridad para evitar que este tipo de vulnerabilidades se conviertan en problemas reales.

Fuente original