🇰🇷 한글 설명
Mastodon에서 외부 인증 제공자(CAS, SAML, OIDC)를 통해 로그인할 때 이메일 주소만으로 기존 계정을 식별하는 취약점입니다. 공격자가 인증 제공자에서 이메일 주소를 변경할 수 있다면, 기존 Mastodon 사용자의 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인할 때 이메일 주소만 확인하는 허점을 이용해 다른 사람의 계정을 가로챌 수 있는 문제입니다. 인증 서비스에서 이메일을 마음대로 바꿀 수 있다면 내 계정이 위험해질 수 있습니다.
🇺🇸 원문 (English)
Mastodon is a free, open-source social network server based on ActivityPub. Mastodon allows new identities from configured authentication providers (CAS, SAML, OIDC) to attach to existing local users with the same e-mail address. This results in a possible account takeover if the authentication provider allows changing the e-mail address or multiple authentication providers are configured. When a user logs in through an external authentication provider for the first time, Mastodon checks the e-mail address passed by the provider to find an existing account. However, using the e-mail address alone means that if the authentication provider allows changing the e-mail address of an account, the Mastodon account can immediately be hijacked. All users logging in through external authentication providers are affected. The severity is medium, as it also requires the external authentication provider to misbehave. However, some well-known OIDC providers (like Microsoft Azure) make it very easy to accidentally allow unverified e-mail changes. Moreover, OpenID Connect also allows dynamic client registration. This issue has been addressed in versions 4.2.6, 4.1.14, 4.0.14, and 3.5.18. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Mastodon (4.2.6, 4.1.14, 4.0.14, 3.5.18 미만 버전)
⚔️ 공격 벡터
인증 제공자에서 이메일 주소를 변경하여 기존 Mastodon 사용자의 이메일과 일치시킨 후 로그인 시도
🛡️ 대응 방법
Mastodon을 보안 패치가 적용된 최신 버전(4.2.6, 4.1.14, 4.0.14, 3.5.18 이상)으로 업데이트
🔧 검증 코드
출력된 Mastodon의 버전을 확인하여 취약점이 해결된 버전 이상인지 체크