16.16. サーバーサイドリクエストフォージェリー (SSRF) の軽減

サーバーサイドリクエストフォージェリー (SSRF) とは、攻撃者がサーバー (この場合は Red Hat build of Keycloak) を誘導して、意図しない宛先にリクエストを送信させるセキュリティー上の脆弱性です。Red Hat build of Keycloak では、このリスクは主に、JWKS URI など、サーバーからのリクエストをトリガーするクライアントフィールドに関連しています。

これらのフィールドが厳密に検証されていない場合、悪意のある管理者、侵害されたアカウント、または動的クライアント登録により、フィールドが内部ネットワークのリソースやループバックインターフェイス (例: http://localhost:8080/any) に向けて誘導される可能性があります。攻撃者はこれを利用して、Red Hat build of Keycloak サーバー自体から内部インフラストラクチャーを調査または攻撃することができます。

この脅威を軽減するために、Red Hat build of Keycloak は クライアントポリシー を使用したソリューションを提供しています。これには、トランスポートセキュリティーとワイルドカードに対する基本的な保護を提供する Secure Client URIs などのエグゼキューターが含まれますが、特に Secure Client URIs Pattern エグゼキューターの使用が効果的です。