CVE-2026-90997 Keycloak無状態モードでMySQL/MariaDB使用時のセキュリティトークン再利用脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Keycloakにおいて、MySQLまたはMariaDBを無状態モードで使用する場合、データベースドライバとアプリケーションロジックの行数処理の不一致により、セキュリティトークンの再送信保護が無効化される脆弱性が見つかりました。攻撃者は、JWTクライアントアサーションやDPoP証明、ワンタイムパスワード（TOTP）コードなどのセキュリティアーテファクトを盗聴し、再利用してトークンエンドポイントやログインフローへの不正アクセスを試みる可能性があります。影響を受ける環境は、Keycloakを無状態モードでMySQL/MariaDBと連携しているシステムです。確認時は、使用しているデータベースとKeycloakの設定を確認し、関連するパッチ適用を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えよう。Keycloakの無状態モードにおけるセキュリティトークンの再送信保護が破綻するという点は、倫理的にも技術的にも興味深い。だが、この問題の本質を問うなら、なぜ「行数処理の不一致」がリスクの根源なのでしょうか？
ソクラテス、ご質問に答えます。現場の管理者として、まず確認すべきは「Keycloakが無状態モードで動作しているか」、そして「MySQLまたはMariaDBが使用されているか」です。この二点が前提となるため、まず構成確認をしなければなりません。たとえば、データベース接続設定やKeycloakのstatelessモード有効化のフラグを確認する必要があります。
なるほど。では、この脆弱性が「セキュリティアーテファクトの盗聴と再利用」を許容するという点は、運用者に何を教えますか？
ええ、攻撃者がJWTやTOTPを盗聴して再利用できるリスクがあるため、まずパッチ適用の有無を確認する必要があります。Keycloakの公式リリースノートや、関連するデータベースドライバのバージョン情報に目を向けるべきです。また、変更管理の観点から、パッチ適用前後の設定の差分を明確に記録する習慣が重要です。
では、監視の観点からどうすればよいでしょうか？
監視ツールで、トークンエンドポイントへの異常なリクエストパターンを検出する仕組みを整えるべきです。たとえば、同じセキュリティトークンが短時間内に複数回使用された場合にアラートを発するように設定することで、攻撃の兆候を早期に捉えることができます。
最後に、ベンダー情報確認の重要性について言及してください。
もちろんです。Keycloakの公式サイトや、MySQL/MariaDBのドキュメントで、この脆弱性に対する具体的な修正情報が記載されているかを確認してください。また、脆弱性管理ツール（例：NVD）でCVSSスコアや影響範囲を再確認し、他のシステムとの連携に影響がないかを精査する必要があります。
では、この脆弱性への対応は「確認→修正→監視」の三段階に集約されるのでしょうか？
まさにその通りです。ただ、この三段階を「急いで」行うのではなく、「慎重に」行うことが肝要です。たとえば、パッチ適用前にテスト環境での影響評価を実施し、変更管理のプロセスに従って本番環境に反映するようにしましょう。それと、セキュリティチームに報告書を提出する習慣も、今後のために重要です。
さすがプラトン、実用的な指針を示してくれた。だが、最後に一言。この脆弱性は「技術的欠陥」であり、「倫理的失敗」ではない。運用者が責任を持って対応すれば、リスクは十分に抑えることができるでしょう。
同意します。ただ、忘れがちなのは、セキュリティ対策は「一度だけ」ではなく、「継続的」な作業だということです。定期的な構成確認と、ベンダー情報の更新が、長期的な防衛の鍵となります。
関連キーワード: mysql, mariadb