🇰🇷 한글 설명
OpenStack Identity(Keystone)의 특정 버전에서 인증된 신뢰 사용자가 V2 API 신뢰 토큰 요청 시 프로젝트 ID를 조작하여 권한이 없는 프로젝트에 접근할 수 있는 취약점입니다. 이를 통해 공격자는 신뢰 관계를 악용하여 허용되지 않은 자원에 접근할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 시스템의 허점을 이용해 자신이 접근해서는 안 되는 다른 프로젝트의 영역까지 몰래 들어갈 수 있는 문제입니다. 마치 열쇠를 가진 사람이 다른 방의 문까지 열 수 있는 상황과 같습니다.
🇺🇸 원문 (English)
OpenStack Identity (Keystone) before 2013.2.4, 2014.x before 2014.1.2, and Juno before Juno-2 allows remote authenticated trustees to gain access to an unauthorized project for which the trustor has certain roles via the project ID in a V2 API trust token request.
📍 영향받는 시스템
OpenStack Keystone (2013.2.4 미만, 2014.x 2014.1.2 미만, Juno 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 V2 API의 신뢰 토큰 요청 과정에서 프로젝트 ID를 변조하여 전송
🛡️ 대응 방법
OpenStack Keystone을 최신 보안 패치가 적용된 버전(2013.2.4, 2014.1.2 또는 Juno-2 이상)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 보안 패치 버전보다 낮은지 확인
openstack --version | grep -E 'keystone|juno'
📊 CVSS Vector String
AV:N/AC:L/Au:S/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM Verify Identity Access