🇰🇷 한글 설명
GitLab 인증 커넥터를 사용하는 Concourse 6.3.1 및 6.4.1 미만 버전에서 신원 사칭 취약점이 발견되었습니다. 공격자가 권한이 있는 사용자와 동일한 전체 이름을 가진 GitLab 계정을 설정함으로써 Concourse 팀에 접근할 수 있습니다.
💡 쉬운 설명
다른 사용자와 이름이 똑같은 가짜 계정을 만들어 시스템에 몰래 접속할 수 있는 보안 결함입니다. GitLab 그룹을 사용하지 않고 개별 사용자로 인증할 때 발생합니다.
🇺🇸 원문 (English)
Concourse, versions prior to 6.3.1 and 6.4.1, in installations which use the GitLab auth connector, is vulnerable to identity spoofing by way of configuring a GitLab account with the same full name as another user who is granted access to a Concourse team. GitLab groups do not have this vulnerability, so GitLab users may be moved into groups which are then configured in the Concourse team.
📍 영향받는 시스템
Concourse versions prior to 6.3.1 and 6.4.1 (using GitLab auth connector)
⚔️ 공격 벡터
권한이 있는 사용자와 동일한 Full Name을 가진 GitLab 계정을 생성하여 인증 우회
🛡️ 대응 방법
Concourse를 6.3.1 또는 6.4.1 이상의 최신 버전으로 업데이트하거나 GitLab 인증 시 그룹 기반 인증을 사용하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(6.3.1 미만 또는 6.4.1 미만)에 해당하면 보안 업데이트가 필요합니다.
concourse version | grep -E '6\.(3\.[0-1]|4\.[0-1])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access