🇰🇷 한글 설명
Keycloak의 모든 버전에서 관리 콘솔 페이지의 HTTP 응답에 일반적인 HTTP 보안 헤더가 누락된 취약점이 발견되었습니다. 이 취약점 자체로 직접적인 보안 문제가 발생하지는 않지만, 클릭재킹이나 채널 다운그레이드 공격과 같은 다른 클라이언트 기반 공격을 용이하게 만들 수 있습니다.
💡 쉬운 설명
웹사이트의 관리자 페이지를 보호하는 보안 설정이 빠져 있는 상태입니다. 이로 인해 공격자가 사용자를 속여 원치 않는 클릭을 유도하거나 보안 연결을 약화시키는 공격을 시도하기 쉬워집니다.
🇺🇸 원문 (English)
A vulnerability was found in all versions of Keycloak where, the pages on the Admin Console area of the application are completely missing general HTTP security headers in HTTP-responses. This does not directly lead to a security issue, yet it might aid attackers in their efforts to exploit other problems. The flaws unnecessarily make the servers more prone to Clickjacking, channel downgrade attacks and other similar client-based attack vectors.
📍 영향받는 시스템
Keycloak의 모든 버전
⚔️ 공격 벡터
클릭재킹(Clickjacking) 또는 채널 다운그레이드 공격을 통한 클라이언트 측 공격
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고 HTTP 보안 헤더 설정을 강화합니다.
🔧 검증 코드
명령어 실행 결과에서 X-Frame-Options, Content-Security-Policy 등의 보안 헤더가 나타나지 않으면 취약한 상태입니다.
curl -I http://<KEYCLOAK_HOST>/auth/admin/ | grep -Ei 'X-Frame-Options|Content-Security-Policy|Strict-Transport-Security'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server