🇰🇷 한글 설명
Mendix SAML 모듈의 여러 버전에서 SAML 어설션(Assertion) 검증이 불충분하게 이루어지는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 원격 공격자가 인증 과정을 우회하여 애플리케이션에 무단으로 접근할 수 있습니다. 다만, 권장되는 기본 설정인 'Use Encryption' 옵션이 활성화되어 있다면 이 문제는 발생하지 않습니다.
💡 쉬운 설명
로그인 확인 과정에서 가짜 신분증을 제대로 검사하지 못하는 보안 결함이 발견되었습니다. 해커가 이 허점을 이용하면 아이디와 비밀번호 없이도 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been identified in Mendix SAML (Mendix 7 compatible) (All versions >= V1.16.4 < V1.17.3), Mendix SAML (Mendix 8 compatible) (All versions >= V2.2.0 < V2.3.0), Mendix SAML (Mendix 9 latest compatible, New Track) (All versions >= V3.1.9 < V3.3.1), Mendix SAML (Mendix 9 latest compatible, Upgrade Track) (All versions >= V3.1.8 < V3.3.0), Mendix SAML (Mendix 9.6 compatible, New Track) (All versions >= V3.1.9 < V3.2.7), Mendix SAML (Mendix 9.6 compatible, Upgrade Track) (All versions >= V3.1.8 < V3.2.6). The affected versions of the module insufficiently verify the SAML assertions. This could allow unauthenticated remote attackers to bypass authentication and get access to the application.
For compatibility reasons, fix versions still contain this issue, but only when the recommended, default configuration option `'Use Encryption'` is disabled.
📍 영향받는 시스템
Mendix SAML (Mendix 7, 8, 9 관련 모듈의 특정 버전 범위)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 SAML 어설션을 전송하여 인증 우회
🛡️ 대응 방법
SAML 모듈을 최신 패치 버전으로 업데이트하고, 설정에서 'Use Encryption' 옵션이 활성화되어 있는지 확인하십시오.
🔧 검증 코드
출력된 모듈 버전이 취약한 버전 범위(예: V1.16.4 ~ V1.17.2 등)에 포함되는지 확인하십시오.
mendix-saml-module-version-check --list
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access