🇰🇷 한글 설명
Cloud Foundry UAA 66.0 미만 버전에서 권한 부여 로직 오류가 발견되었습니다. 여러 ID 제공업체를 사용하는 환경에서 동일한 사용자 이름을 가진 계정이 존재할 경우, 인증된 사용자가 다른 ID 제공업체의 동일한 사용자 이름 계정에 대한 토큰을 획득할 수 있습니다.
💡 쉬운 설명
서로 다른 로그인 서비스에서 같은 아이디를 사용하는 경우, 한쪽 계정으로 로그인한 사람이 다른 쪽 계정의 권한까지 몰래 가져갈 수 있는 문제입니다. 이는 계정 간의 신원 확인 과정에서 발생하는 논리적 허점 때문에 발생합니다.
🇺🇸 원문 (English)
Cloud Foundry UAA, versions 60 prior to 66.0, contain an authorization logic error. In environments with multiple identity providers that contain accounts across identity providers with the same username, a remote authenticated user with access to one of these accounts may be able to obtain a token for an account of the same username in the other identity provider.
📍 영향받는 시스템
Cloud Foundry UAA versions prior to 66.0
⚔️ 공격 벡터
인증된 원격 사용자가 동일한 사용자 이름을 가진 다른 ID 제공업체의 계정 토큰을 탈취하는 방식
🛡️ 대응 방법
Cloud Foundry UAA를 66.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 66.0 미만(예: 60.x, 65.x)이면 취약한 상태입니다.
uaa-cli --version 2>/dev/null | grep -E '6[0-5]\.' || echo 'Version check required'
📊 CVSS Vector String
CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access