🇰🇷 한글 설명
OpenStack Keystone (Folsom)의 python-keystoneclient 0.2.4 이전 버전에서 PKI 토큰 만료 시간을 제대로 검증하지 않는 취약점입니다. 이로 인해 인증된 원격 사용자가 만료된 토큰을 계속 사용하거나 폐기된 토큰이 만료된 후 재사용할 수 있습니다.
💡 쉬운 설명
OpenStack의 로그인 토큰 검증 시스템이 만료된 토큰을 거부하지 않습니다. 권한이 없어진 사용자가 오래된 토큰으로 계속 시스템에 접근할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
python-keystoneclient before 0.2.4, as used in OpenStack Keystone (Folsom), does not properly check expiry for PKI tokens, which allows remote authenticated users to (1) retain use of a token after it has expired, or (2) use a revoked token once it expires.
📍 영향받는 시스템
python-keystoneclient < 0.2.4 (OpenStack Keystone Folsom 및 그 이전 버전)
⚔️ 공격 벡터
인증된 사용자가 만료 또는 폐기된 토큰을 재사용하여 권한 유지
🛡️ 대응 방법
python-keystoneclient를 0.2.4 이상 버전으로 업그레이드
🔧 검증 코드
VULNERABLE 출력 시 패치 필요, PATCHED 출력 시 안전함
pip show keystoneclient 2>/dev/null | grep Version | awk '{print $2}' | awk -F. '{if ($1==0 && $2<2 || ($1==0 && $2==2 && $3<4)) print "VULNERABLE"; else print "PATCHED"}'