CVE-2024-7341

highPriorität · verfolgen · 28EPSS 0.008 · 58. PerzentilDEEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.85% (58th) EPSS

CVSS 7.1 · high

Is it mine?

23 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · osv · cert_bund

EPSS · bewertet 2026-10-27

A session fixation issue was discovered in the SAML adapters provided by Keycloak. The session ID and JSESSIONID cookie are not changed at login time, even when the turnOffChangeSessionIdOnLogin option is configured. This flaw allows an attacker who hijacks the current session before authentication to trigger session fixation.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.1

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.5–7.1

v3.17.1highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 1.2 · Auswirkung 5.9

v3.17.1highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.17.1highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:Hsecondary · secalert@redhat.com USAusnutzbarkeit 1.2 · Auswirkung 5.9

v3.17.1highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:Hsecondary · OSV

v3.16.5mediumCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-384USCWE-384US

betroffene Produkte (23)

Betroffene Produkte und Versionsbereiche.

Hitachi Ops Centeralle Versionencert_bundDEcpe:/a:hitachi:ops_center:-
Red Hat OpenShift <Keycloak 24.0.7alle Versionencert_bundDE
Open Source Keycloak< 25.0.5cert_bundDE
Red Hat OpenShift< Keycloak 24.0.7cert_bundDE
Red Hat RHEL-8 based Middleware Containers< 7.6-52enisa_euvdEU
Red Hat Red Hat Single Sign-On 7.6 for RHEL 7< 0:18.0.16-1.redhat_00001.1.el7ssoenisa_euvdEU
Red Hat Red Hat Single Sign-On 7.6 for RHEL 8< 0:18.0.16-1.redhat_00001.1.el8ssoenisa_euvdEU
Red Hat Red Hat Single Sign-On 7.6 for RHEL 9< 0:18.0.16-1.redhat_00001.1.el9ssoenisa_euvdEU
Red Hat Red Hat build of Keycloak 22< 22-17enisa_euvdEU
Red Hat Red Hat build of Keycloak 22< 22-20enisa_euvdEU
Red Hat Red Hat build of Keycloak 22< 22.0.12-1enisa_euvdEU
Red Hat Red Hat build of Keycloak 24< 24-16enisa_euvdEU
Red Hat Red Hat build of Keycloak 24< 24.0.7-4enisa_euvdEU
redhat build of keycloak22.0 → 22.0.12nvdUScpe:2.3:a:redhat:build_of_keycloak:*:*:*:*:*:*:*:*
redhat build of keycloak24.0 → 24.0.7nvdUScpe:2.3:a:redhat:build_of_keycloak:*:*:*:*:*:*:*:*
redhat keycloak≤ 25.0.2nvdUScpe:2.3:a:redhat:keycloak:*:*:*:*:*:*:*:*
redhat single sign-onalle VersionennvdUScpe:2.3:a:redhat:single_sign-on:*:*:*:*:*:*:*:*
redhat single sign-on7.6 → 7.6.10nvdUScpe:2.3:a:redhat:single_sign-on:*:*:*:*:*:*:*:*
Bitnami keycloak22.0.0 → 22.0.12osvUSpkg:bitnami/keycloak
Bitnami keycloak24.0.0 → 24.0.7osvUSpkg:bitnami/keycloak

20 von 23 angezeigt

Advisories (5)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-2080Keycloak: Schwachstelle Umgehung von SicherheitsvorkehrungenDeutsch2024-09-09csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Keycloak ausnutzen, um Sicherheitsvorkehrungen zu umgehen
WID-SEC-W-2024-2083Red Hat OpenShift Keycloak: Mehrere SchwachstellenDeutsch2024-09-09csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Red Hat OpenShift ausnutzen, um falsche Informationen darzustellen um die Authentifizierung zu umgehen.
GHSA-5rxp-2rhr-qwqvKeycloak has session fixation in Elytron SAML adapters2024-10-14ghsa · osvUS
A session fixation issue was discovered in the SAML adapters provided by Keycloak. The session ID and JSESSIONID cookie are not changed at login time, even when the turnOffChangeSessionIdOnLogin option is configured. This flaw allows an attacker who hijacks the current session before authentication to trigger session fixation.
GHSA-j76j-rqwj-jmvvDuplicate Advisory: Keycloak Session Fixation vulnerability2024-09-09ghsa · osvUS
# Duplicate Advisory This advisory has been withdrawn because it is a duplicate of GHSA-5rxp-2rhr-qwqv. This link is maintained to preserve external references. # Original Description A session fixation issue was discovered in the SAML adapters provided by Keycloak. The session ID and JSESSIONID cookie are not changed at login time, even when `the turnOffChangeSessionIdOnLogin` option is configured. This flaw allows an attacker who hijacks the current session before authentication to trigger session fixation.
BIT-keycloak-2024-7341Wildfly-elytron: org.keycloak/keycloak-services: session fixation in elytron saml adapters2026-08-25vendor · osvUS
A session fixation issue was discovered in the SAML adapters provided by Keycloak. The session ID and JSESSIONID cookie are not changed at login time, even when the turnOffChangeSessionIdOnLogin option is configured. This flaw allows an attacker who hijacks the current session before authentication to trigger session fixation.

auch bekannt als (6)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd osv cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2024-09-09geändert 2026-08-27

Referenzen (39)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan