🇰🇷 한글 설명
OpenStack Keystone의 PKI/PKIZ 토큰 제공자에서 토큰 무효화가 제대로 작동하지 않아, 인증된 원격 사용자가 취소된 토큰의 바이트 필드를 조작하여 의도된 접근 제어를 우회하고 클라우드 리소스에 접근할 수 있는 취약점입니다.
💡 쉬운 설명
OpenStack 클라우드 서비스에서 사용자 권한 취소가 제대로 작동하지 않아, 권한이 없어진 사용자가 여전히 시스템에 접근할 수 있습니다. 공격자는 취소된 권한 토큰을 살짝 수정해서 다시 사용할 수 있게 됩니다.
🇺🇸 원문 (English)
The identity service in OpenStack Identity (Keystone) before 2015.1.3 (Kilo) and 8.0.x before 8.0.2 (Liberty) and keystonemiddleware (formerly python-keystoneclient) before 1.5.4 (Kilo) and Liberty before 2.3.3 does not properly invalidate authorization tokens when using the PKI or PKIZ token providers, which allows remote authenticated users to bypass intended access restrictions and gain access to cloud resources by manipulating byte fields within a revoked token.
📍 영향받는 시스템
Keystone 2015.1.3 미만(Kilo), 8.0.2 미만(Liberty); keystonemiddleware 1.5.4 미만(Kilo), 2.3.3 미만(Liberty)
⚔️ 공격 벡터
인증된 사용자가 PKI/PKIZ 토큰의 바이트 필드를 조작하여 취소된 토큰을 재사용
🛡️ 대응 방법
Keystone 및 keystonemiddleware를 권장 버전(2015.1.3, 8.0.2, 1.5.4, 2.3.3) 이상으로 업그레이드
🔧 검증 코드
설치된 keystone과 keystonemiddleware의 버전을 확인하여, 각각 권장 버전 이상인지 확인합니다. 버전이 낮으면 취약한 상태입니다.
dpkg -l | grep -E 'keystone|keystonemiddleware' | awk '{print $2, $3}'