В Кейклоаке был обнаружен недостаток. Когда включен revokeRefreshToken=true и используется постоянное сессионное хранилище, перезагрузка се…

В Кейклоаке был обнаружен недостаток. Когда включен revokeRefreshToken=true и используется постоянное сессионное хранилище, перезагрузка сервера может сбросить внутренние механизмы синхронизации. Это позволяет удаленному злоумышленнику, который ранее захватил токен обновления пользователя, воспроизвести этот токен даже после того, как он был отозван. Успешная эксплуатация предоставляет злоумышленнику несанкционированный доступ к учетной записи жертвы, что может привести к раскрытию информации или эскалации привилегий.