🇰🇷 한글 설명
Keycloak Node.js 어댑터 2.5~3.0 버전에서 잘못된 토큰을 부적절하게 처리하는 취약점으로, 공격자가 이를 악용하여 인증을 우회하고 제한된 정보에 접근할 수 있습니다. 추가적인 공격으로 발전할 가능성도 있습니다.
💡 쉬운 설명
Keycloak 로그인 시스템이 가짜 인증 토큰을 받아들이는 문제입니다. 공격자가 이를 악용하면 로그인 없이 보호된 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
It was found that the Keycloak Node.js adapter 2.5 - 3.0 did not handle invalid tokens correctly. An attacker could use this flaw to bypass authentication and gain access to restricted information, or to possibly conduct further attacks.
📍 영향받는 시스템
Keycloak Node.js adapter 2.5~3.0 버전
⚔️ 공격 벡터
유효하지 않은 JWT 토큰을 제공하여 인증 검증 우회
🛡️ 대응 방법
Keycloak Node.js adapter를 3.1 이상으로 업그레이드
🔧 검증 코드
설치된 keycloak-connect 버전이 3.0 이하면 취약함, 3.1 이상이면 안전
npm list keycloak-connect 2>/dev/null | grep -oP '(?<=@)[0-9]+\.[0-9]+\.[0-9]+' || echo 'not installed'