🇰🇷 한글 설명
Keycloak 10.0.0 미만 모든 버전에서 NodeJS 어댑터가 verify-token-audience 기능을 지원하지 않는 결함이 발견되었습니다. 이로 인해 일부 사용자가 자신의 권한을 벗어난 민감한 정보에 접근할 수 있는 보안 취약점이 존재합니다.
💡 쉬운 설명
로그인 정보가 담긴 티켓을 검사할 때, 이 티켓이 원래 용도에 맞게 사용되고 있는지 확인하는 기능이 빠져 있는 상태입니다. 이 때문에 다른 서비스용 티켓을 가지고 권한이 없는 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in all versions of Keycloak before 10.0.0, where the NodeJS adapter did not support the verify-token-audience. This flaw results in some users having access to sensitive information outside of their permissions.
📍 영향받는 시스템
Keycloak 10.0.0 미만 모든 버전 (NodeJS 어댑터 사용 시)
⚔️ 공격 벡터
검증되지 않은 토큰의 audience 값을 악용하여 권한 밖의 데이터에 접근
🛡️ 대응 방법
Keycloak을 10.0.0 이상의 최신 버전으로 업데이트하거나 NodeJS 어댑터의 토큰 검증 설정을 점검하십시오.
🔧 검증 코드
설치된 Keycloak 버전이 10.0.0 미만인지 확인하고, NodeJS 어댑터 설정에서 audience 검증이 활성화되어 있는지 점검하십시오.
curl -s http://<keycloak-server>/auth/realms/<realm-name>/.well-known/openid-configuration | grep -i 'issuer'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access