🇰🇷 한글 설명
Pomerium는 오픈 소스 ID 인식 액세스 프록시입니다. 영향을 받는 버전에서는 사용자가 최초 로그인한 후 OIDC 클레임이 변경되어도 `allowed_idp_claims`를 사용하는 정책 평가에 반영되지 않는 문제가 있습니다. 이로 인해 사용자의 클레임이 변경되었을 때 Pomerium가 잘못된 권한 부여 결정을 내릴 수 있습니다.
💡 쉬운 설명
사용자의 로그인 정보가 바뀌어도 시스템이 예전 정보를 그대로 사용하여 잘못된 접근 권한을 허용할 수 있는 문제입니다. 보안 설정이 변경되었음에도 시스템이 이를 즉시 인지하지 못하는 상태입니다.
🇺🇸 원문 (English)
Pomerium is an open source identity-aware access proxy. In affected versions changes to the OIDC claims of a user after initial login are not reflected in policy evaluation when using `allowed_idp_claims` as part of policy. If using `allowed_idp_claims` and a user's claims are changed, Pomerium can make incorrect authorization decisions. This issue has been resolved in v0.15.6. For users unable to upgrade clear data on `databroker` service by clearing redis or restarting the in-memory databroker to force claims to be updated.
📍 영향받는 시스템
Pomerium v0.15.6 미만 버전
⚔️ 공격 벡터
사용자의 권한(OIDC claims)이 변경되었음에도 불구하고 이전의 권한 정보가 캐시되어 잘못된 접근이 허용됨
🛡️ 대응 방법
Pomerium를 v0.15.6 이상으로 업그레이드하거나, 업그레이드가 불가능할 경우 Redis를 비우거나 databroker 서비스를 재시작하여 클레임을 강제 업데이트해야 합니다.
🔧 검증 코드
출력된 버전이 v0.15.6 미만인지 확인하여 취약 여부를 판단합니다.
pomerium --version 2>/dev/null || echo 'Check installed version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access