Die Schwachstelle steckt im Ablauf zum Zurücksetzen von Zugangsdaten der Komponente keycloak-services, dem zentralen Baustein für Identitäts- und Zugriffsverwaltung im Red Hat Build of Keycloak. Normalerweise darf ein Passwort nur dann neu gesetzt werden, wenn die anfragende Person zuvor den per E-Mail zugestellten Bestätigungslink aufgerufen und sich damit als Inhaber des Kontos ausgewiesen hat. Genau diese Prüfung lässt sich umgehen: Ein Angreifer kann den Rücksetzvorgang für ein beliebiges Benutzerkonto anstoßen und abschließen, ohne den Verifizierungslink zu besitzen oder anzuklicken. Eine vorherige Anmeldung ist dafür nicht nötig. Da der Angreifer auf diesem Weg selbst neue Zugangsdaten festlegen kann, erlangt er die vollständige Kontrolle über das betroffene Konto – einschließlich privilegierter Konten. Weil Keycloak als zentraler Anmeldedienst vielen angebundenen Anwendungen vorgeschaltet ist, wirkt sich eine solche Kontoübernahme auf sämtliche darüber geschützten Systeme aus.