🇰🇷 한글 설명
Fleet의 4.9.1 미만 버전에서 SAML 인증 시 Audience 검증이 누락되어 인증 스푸핑이 가능한 취약점이 발견되었습니다. 공격자가 악의적인 서비스 제공자(SP)를 통해 SAML 응답을 재사용하거나, 사용자가 다른 SP용 SAML 응답을 Fleet 로그인에 재사용할 수 있습니다. 이는 Fleet 계정이 존재하는 사용자에게 영향을 미칩니다.
💡 쉬운 설명
로그인할 때 사용하는 '신분증(SAML 응답)'이 원래 목적지와 맞는지 확인하지 않아 발생하는 문제입니다. 다른 사이트에서 받은 신분증을 가져와서 Fleet 서비스에 로그인하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
fleet is an open source device management, built on osquery. Versions prior to 4.9.1 expose a limited ability to spoof SAML authentication with missing audience verification. This impacts deployments using SAML SSO in two specific cases: 1. A malicious or compromised Service Provider (SP) could reuse the SAML response to log into Fleet as a user -- only if the user has an account with the same email in Fleet, _and_ the user signs into the malicious SP via SAML SSO from the same Identity Provider (IdP) configured with Fleet. 2. A user with an account in Fleet could reuse a SAML response intended for another SP to log into Fleet. This is only a concern if the user is blocked from Fleet in the IdP, but continues to have an account in Fleet. If the user is blocked from the IdP entirely, this cannot be exploited. Fleet 4.9.1 resolves this issue. Users unable to upgrade should: Reduce the length of sessions on your IdP to reduce the window for malicious re-use, Limit the amount of SAML Service Providers/Applications used by user accounts with access to Fleet, and When removing access to Fleet in the IdP, delete the Fleet user from Fleet as well.
📍 영향받는 시스템
Fleet versions prior to 4.9.1
⚔️ 공격 벡터
SAML 응답의 Audience 검증 부재를 이용한 SAML Response Replay 공격
🛡️ 대응 방법
Fleet를 4.9.1 버전 이상으로 업그레이드하거나, IdP 세션 길이를 줄이고 Fleet 사용자를 관리합니다.
🔧 검증 코드
명령어 결과에 4.9.1 이상의 버전 정보가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<fleet-server-url>/api/v1/version | grep -E '4.9.1'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access