1.8. CVE

本リリースでは、以下の CVE が修正されています。

CVE-2024-8883 脆弱性可能なリダイレクト URI 検証により Open Redirect が発生する
CVE-2024-8698 SAML 応答の検証により、Red Hat Single Sign-On での権限昇格が発生する
CVE-2024-7341 elytron SAML アダプターのセッション修正により、Cookie ハイジャックの可能性に対する保護が強化されます。
CVE-2024-5967 管理コンソールを介して設定された LDAP バインド認証情報の Leak。適切な権限を持つ攻撃者のマシンに hostURL を変更する可能性があります。
CVE-2024-4629 攻撃者は、複数のログイン試行を並行して起動することで、ブルートフォース保護をバイパスする可能性があります。
CVE-2024-4540。PAR を使用した OIDC 機密クライアント(Pushed authorization request)に影響を与える重要なセキュリティーの問題です。OIDC 機密クライアントを PAR と一緒に使用し、HTTP リクエスト本文のパラメーターとして送信された client_id と client_secret に基づくクライアント認証を使用する場合 (OIDC 仕様で指定されたメソッド client_secret_post)、このバージョンにアップグレードした後、クライアントのクライアントシークレットをローテーションすることを強く推奨します。