🇰🇷 한글 설명
UmbracoIdentityExtensions 패키지에서 클라이언트 비밀번호(client secret) 없이 인증이 가능한 취약점이 발견되었습니다. Umbraco는 단일 페이지 애플리케이션(SPA)이 아니므로 암시적 흐름(implicit flow)을 사용하는 것은 보안상 위험하며, 인증 코드를 사용하는 권한 부여 코드 흐름(authorization code flow)을 사용해야 합니다.
💡 쉬운 설명
로그인 과정에서 비밀번호 역할을 하는 암호가 생략되어 있어, 해커가 인증 정보를 가로챌 위험이 있는 보안 약점입니다. 이를 방지하기 위해 더 안전한 인증 방식을 사용하도록 패키지를 업데이트해야 합니다.
🇺🇸 원문 (English)
UmbracoIdentityExtensions is an Umbraco add-on package that enables easy extensibility points for ASP.Net Identity integration. In affected versions client secrets are not required which may expose some endpoints to untrusted actors. Since Umbraco is not a single-page application, the implicit flow is not safe. For traditional MVC applications, it is recommended to use the authorization code flow, which requires the client to authenticate with the authorization server using a client secret. This flow provides better security, as it involves exchanging an authorization code for an access token and/or ID token, rather than directly returning tokens in the URL fragment. This issue has been patched in commit `e792429f9` and a release to Nuget is pending. Users are advised to upgrade when possible.
📍 영향받는 시스템
UmbracoIdentityExtensions (client secret 미사용 버전)
⚔️ 공격 벡터
암시적 흐름(Implicit Flow)을 악용하여 URL 조작 등을 통해 인증 토큰을 탈취하는 방식
🛡️ 대응 방법
패키지를 최신 버전으로 업데이트하거나, 인증 방식을 Authorization Code Flow로 변경하십시오.
🔧 검증 코드
출력된 패키지 버전이 보안 패치가 적용된 최신 버전인지 확인하십시오.
dotnet list package | grep UmbracoIdentityExtensions
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access