Keycloak 漏洞总结:Review Profile 导致用户易受钓鱼攻击 漏洞概述 在 Keycloak 的“Review Profile”(审查个人资料)功能中,当用户通过社交登录(如 Google)首次登录时,系统会发送一封验证邮件要求用户确认邮箱地址。攻击者可以利用此机制,通过注册一个与受害者邮箱相似的账号,诱导受害者点击恶意链接,从而获取受害者账户的访问权限。 影响范围 受影响组件:Keycloak 的 Review Profile 功能 攻击场景: - 攻击者注册一个与受害者邮箱相似的账号(例如: vs ) - 攻击者触发社交登录流程 - 受害者收到验证邮件,其中包含指向攻击者控制的链接 - 受害者点击链接后,攻击者获得对受害者账户的访问权限 修复方案 1. 禁用 Review Profile 步骤:在配置中禁用 Review Profile 步骤,防止攻击者利用该功能 2. 添加额外验证:在 Review Profile 页面中添加额外验证步骤,确保用户身份的真实性 3. 改进邮件内容:在验证邮件中明确显示攻击者的邮箱地址,避免用户混淆 4. 代码修复:通过提交代码修复该漏洞,具体修复内容见 GitHub 提交记录 POC 代码