🇰🇷 한글 설명
연합 인증 구현의 Silent JIT 프로비저닝 기능에서 연합 사용자와 로컬 사용자의 사용자 이름이 중복될 경우 사용자 역할을 적절히 분리하지 못하는 취약점입니다. 이로 인해 프로비저닝 과정에서 로컬 사용자의 기존 역할이 연합 사용자의 역할로 덮어씌워질 수 있습니다.
💡 쉬운 설명
외부 계정으로 로그인할 때 자동으로 계정을 만들어주는 기능에서 오류가 발생하여, 기존 사용자의 권한이 외부 계정의 권한으로 바뀌어 버리는 문제입니다. 공격자가 특정 사용자의 아이디를 알고 있다면 해당 사용자의 권한을 임의로 변경할 수 있습니다.
🇺🇸 원문 (English)
The silent Just-In-Time (JIT) provisioning feature in federated authentication implementations fails to properly segregate user roles during account creation when a federated user shares a username with a local user. This allows the provisioning process to overwrite existing roles of local users with roles assigned to the federated user.
Exploitation requires a federated identity provider (IDP) with silent JIT provisioning enabled and an attacker's knowledge of a local user's username. When these conditions are met, a malicious individual can leverage the JIT provisioning process to modify the roles of local users. The overwritten roles are limited to those defined within the federated IDP, typically granting minimal access rights unless explicitly configured otherwise by the federated IDP administrator.
📍 영향받는 시스템
Silent JIT 프로비저닝 기능이 활성화된 연합 인증(Federated Authentication) 구현 시스템
⚔️ 공격 벡터
연합 IDP를 통해 로컬 사용자와 동일한 사용자 이름으로 JIT 프로비저닝을 유도하여 권한 덮어쓰기 수행
🛡️ 대응 방법
JIT 프로비저닝 시 로컬 사용자와의 사용자 이름 중복 여부를 확인하고 역할을 엄격히 분리하도록 설정 또는 패치 적용
🔧 검증 코드
설정 파일에서 JIT 프로비저닝 활성화 여부를 확인하여 해당 기능이 작동 중인지 점검합니다.
grep -r 'JIT_PROVISIONING_ENABLED' /etc/auth_config/ 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access