CVE-2026-33585Arqit SKA-Platform的Keycloak接口中存在空闲超时参数管理不当的漏洞。由于未正确设置会话失效时间，攻击者可利用未过期的浏览器会话模拟已认证的租户用户。该漏洞主要影响26.03之前的版本，攻击需要物理接触设备（AV:P），可能导致用户权限被非法获取。
该漏洞的核心在于Arqit SKA-Platform集成Keycloak接口时，未能对空闲超时参数进行有效管理。正常的安全机制应要求用户在无操作一段时间后重新登录，但受影响版本允许会话无限期或长时间保持活跃。根据CVSS向量（AV:P），利用此漏洞需要攻击者对设备进行物理访问。攻击者一旦接触设备，即可利用浏览器中残留的有效会话Cookie绕过身份验证，直接登录系统。这种缺陷使得攻击者能够接管合法用户的会话，执行未经授权的操作。尽管CVSS评分为3.8（低危），但在物理安全控制薄弱的场景下，该漏洞可能导致租户数据的机密性泄露、完整性受损及服务可用性受限，对多租户环境下的数据隔离构成挑战。