🇰🇷 한글 설명
Azure Active Directory 인증 라이브러리의 On-Behalf-Of 흐름 내 토큰 캐싱 방식에서 권한 상승 취약점이 발견되었습니다. 인증된 공격자가 잘못된 토큰을 할당하는 서비스를 이용해 다른 사용자의 권한으로 작업을 수행할 수 있습니다.
💡 쉬운 설명
로그인 정보를 저장하는 과정에서 오류가 발생하여, 공격자가 다른 사람인 것처럼 속여 시스템을 이용할 수 있는 문제입니다. 인증된 사용자가 다른 사용자의 권한을 가로챌 수 있어 위험합니다.
🇺🇸 원문 (English)
An elevation of privilege vulnerability exists in Azure Active Directory Authentication Library On-Behalf-Of flow, in the way the library caches tokens. This vulnerability allows an authenticated attacker to perform actions in context of another user.
The authenticated attacker can exploit this vulneraiblity by accessing a service configured for On-Behalf-Of flow that assigns incorrect tokens.
This security update addresses the vulnerability by removing fallback cache look-up for On-Behalf-Of scenarios.
📍 영향받는 시스템
Azure Active Directory Authentication Library (ADAL) 사용 서비스
⚔️ 공격 벡터
On-Behalf-Of 흐름이 설정된 서비스에 접근하여 잘못된 토큰을 할당받음
🛡️ 대응 방법
On-Behalf-Of 시나리오에서 폴백 캐시 조회를 제거한 최신 보안 업데이트 적용
🔧 검증 코드
설치된 라이브러리 버전을 확인하여 취약점이 해결된 최신 버전인지 확인합니다.
dotnet list package | grep Microsoft.Identity.Client