🇰🇷 한글 설명
ZITADEL의 아바타 이미지 업로드 기능에서 SVG 파일 내에 포함된 자바스크립트가 실행될 수 있는 취약점입니다. 보안 헤더의 부재로 인해 공격자가 악성 코드를 삽입하여 사용자의 계정 권한을 탈취할 수 있습니다. 이 공격은 피해자가 악성 이미지를 브라우저에서 직접 열고 ZITADEL 세션이 활성화된 상태여야 성공합니다.
💡 쉬운 설명
사용자가 프로필 사진으로 악성 코드가 담긴 그림 파일을 올리면, 다른 사람이 그 사진을 보는 순간 계정 정보가 털릴 수 있는 문제입니다. 사진 파일 안에 몰래 숨겨진 명령어가 작동하여 공격자가 사용자의 권한을 가로채는 방식입니다.
🇺🇸 원문 (English)
ZITADEL is an identity infrastructure management system. ZITADEL users can upload their own avatar image using various image types including SVG. SVG can include scripts, such as javascript, which can be executed during rendering. Due to a missing security header, an attacker could inject code to an SVG to gain access to the victim’s account in certain scenarios. A victim would need to directly open the malicious image in the browser, where a single session in ZITADEL needs to be active for this exploit to work. If the possible victim had multiple or no active sessions in ZITADEL, the attack would not succeed. This issue has been patched in version 2.39.2 and 2.38.2.
📍 영향받는 시스템
ZITADEL 2.39.2 미만 및 2.38.2 미만 버전
⚔️ 공격 벡터
악성 스크립트가 포함된 SVG 파일을 아바타로 업로드한 후 피해자가 해당 이미지를 브라우저로 직접 열도록 유도
🛡️ 대응 방법
ZITADEL을 최신 패치 버전인 2.39.2 또는 2.38.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.39.2 또는 2.38.2 이상인지 확인하여 취약점 해결 여부를 판단합니다.
curl -s http://<ZITADEL_HOST>/healthz | grep -i 'version' || echo 'Check version via ZITADEL CLI or API'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access