Keycloak の SAML ブローカーが「アカウント連結専用」の制限を無視してログインさせる（NVD で CVSS 9.8 へ改定）

Critical（CVSS 9.8）に分類されるKeycloak / Red Hat Keycloak（SAML アイデンティティブローカーの IdP-initiated SSO エンドポイント）の脆弱性です。Keycloak は他の認証基盤（IdP）を束ねるアイデンティティブローカーとして広く使われている。その SAML ブローカーに、管理者が設定した「このIdPはアカウント連結にのみ使う（link-only）」という制限が、IdP 起点のシングルサインオン（IdP-initiated SSO）の経路では確認されないという欠陥がある。link-only は「この外部IdPは、すでにある Keycloak 上のアカウントに紐づける用途にだけ使い、それ単独でのログインは認めない」という設定で、たとえば取引先や旧システムの認証基盤を連結する際に、そのIdP側の管理者を信用しきらないための境界として置く。ところが IdP-initiated SSO のエンドポイントはこのフラグを見ずに処理を進めるため、連結済みの上流アイデンティティを支配できる攻撃者が、そのまま紐づく先のローカルアカウントとして完全な認証済みセッションを取得できる。Red Hat 製品セキュリティは深刻度を Important と評価し、その理由を「認証バイパスであり、成立すると管理上の制限を回避して連結先ローカル利用者の認証済みセッションをまるごと得られる」と明記している。根本原因も同じく「SAML の IdP-initiated SSO エンドポイントで link-only 設定が強制されていないこと」と特定されている。**評価は途中で上がっている。** 公開直後の CVSS 3.1 は 7.4（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N）だったが、NVD は 2026年8月10日の解析で基本値 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）・深刻度 Critical としている（当サイトの表示は NVD の値に合わせている）。変わったのは2点で、攻撃条件の複雑さが AC:H から AC:L へ下がり、可用性への影響が A:N から A:H へ上がった。AC:H は「成立に、連結済みの上流アイデンティティを支配しているという前提が要る」ことを織り込んだ評価だったが、NVD はその前提を難易度として数えない評価を採った。実務上の意味は、「前提を満たす相手にとっては元から容易」という当初からの読みが、点数の側でも表現されたということである。2026年8月30日時点で CISA KEV には収載されておらず、悪用の報告は確認できていない。NVD の評価状態は Analyzed。

Keycloak を修正版へ更新する。上流の課題（keycloak/keycloak#51470）は closed で、付与されたリリースラベルから修正が入ったのは 26.4.14 / 26.6.5 / 26.7.1 / 26.8.0 の4系列である。自分が使っている系列の該当版以降へ上げる。Red Hat build of Keycloak（RHBK）を使っている場合は RHSA-2026:50846（26.4.14）/ RHSA-2026:50847（26.4）/ RHSA-2026:50849（26.6）で配布されている。**優先度は上げてよい。** NVD が 2026年8月10日に基本値を 7.4 から 9.8（Critical）へ改定しており、「攻撃条件が複雑だから後回し」という当初の整理はもう成り立たない。社内の優先度規則を CVSS のしきい値で回しているなら、この CVE は区分が変わっている可能性がある。**回避策は無いと考えて計画を立てること。** Red Hat は緩和策の欄に「利用可能な緩和策が無いか、あっても導入の容易さ・適用範囲・安定性の基準を満たさない」と明記しており、設定変更で塞げるとは書いていない。更新までのあいだに被害面を下げるなら、link-only を設定している外部IdPの連結そのものを一時的に無効化するのが確実で、これは設定で外せる。判断材料としては、link-only 設定の外部IdPを実際に持っているかどうかが分かれ目になる。持っていなければ、この欠陥が突く制限そのものが存在しないので急がなくてよい。持っている場合は、そのIdP側をどれだけ信用しているかがそのままリスクの大きさになる。あわせて、連結済みアカウントで想定外のログインが起きていないか、認証イベントのログを更新前に見ておくこと。なお Red Hat Single Sign-On 7 / JBoss EAP Expansion Pack / Data Grid 8 は「影響なし（Not affected）」と判定されている。

Keycloak / Red Hat Keycloak（SAML アイデンティティブローカーの IdP-initiated SSO エンドポイント） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://access.redhat.com/security/cve/CVE-2026-16442）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。