Betroffen ist der ältere, vom Client angestoßene Endpunkt zur Verknüpfung von Benutzerkonten in Keycloak, einer verbreiteten Open-Source-Lösung für Identitäts- und Zugriffsverwaltung. Dieser Verknüpfungsvorgang soll durch einen Prüfwert (Hash) gegen unbefugte Anfragen geschützt werden. Der Fehler besteht darin, dass sich dieser Prüfwert von einem bösartigen OIDC-Client vorhersagen lässt. Dadurch kann ein vom Angreifer kontrollierter Client eine gültig erscheinende Verknüpfungs-URL selbst erzeugen. Bringt der Angreifer ein Opfer dazu, sich anzumelden, wird dessen Konto mit einer externen Identität des Angreifers verknüpft. In der Folge kann sich der Angreifer als das Opfer anmelden und übernimmt dessen Konto vollständig – einschließlich aller Anwendungen und Dienste, deren Zugang über diese Identität geregelt ist. Die Ausnutzung erfordert lediglich eine Interaktion des Opfers, nicht jedoch Zugangsdaten des Angreifers.