🇰🇷 한글 설명
Dex는 OpenID Connect를 사용하는 ID 서비스로, 2.35.0 미만 버전에서 보안 취약점이 발견되었습니다. 공격자가 사용자를 악성 웹사이트로 유도하여 OIDC 흐름을 조작함으로써 OAuth 인증 코드를 탈취할 수 있습니다. 탈취된 코드는 토큰으로 교환되어 공격자가 대상 애플리케이션에 접근하는 데 악용될 수 있습니다.
💡 쉬운 설명
로그인 과정에서 사용자의 인증 정보를 가로채는 공격입니다. 해커가 만든 가짜 사이트를 통해 사용자의 로그인 권한을 훔쳐 다른 서비스에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
Dex is an identity service that uses OpenID Connect to drive authentication for other apps. Dex instances with public clients (and by extension, clients accepting tokens issued by those Dex instances) are affected by this vulnerability if they are running a version prior to 2.35.0. An attacker can exploit this vulnerability by making a victim navigate to a malicious website and guiding them through the OIDC flow, stealing the OAuth authorization code in the process. The authorization code then can be exchanged by the attacker for a token, gaining access to applications accepting that token. Version 2.35.0 has introduced a fix for this issue. Users are advised to upgrade. There are no known workarounds for this issue.
📍 영향받는 시스템
Dex version prior to 2.35.0
⚔️ 공격 벡터
사용자를 악성 웹사이트로 유도하여 OIDC 인증 흐름 중 OAuth 인증 코드를 탈취하는 방식
🛡️ 대응 방법
Dex를 2.35.0 이상의 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 Dex의 버전이 2.35.0 미만인지 확인하십시오.
dex --version 2>/dev/null || dpkg -l | grep dex
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access