🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik에서 OAuth2 Device code flow를 사용할 때 애플리케이션에 할당된 액세스 제한 사항이 확인되지 않는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 특정 애플리케이션의 OAuth 토큰을 획득하여 비정상적으로 접근할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 권한을 확인하는 절차가 누락되어, 허가되지 않은 사용자가 다른 서비스에 몰래 들어갈 수 있는 문제입니다. 마치 출입증이 없는 사람이 특정 방의 열쇠를 잘못 발급받아 들어가는 것과 같습니다.
🇺🇸 원문 (English)
authentik is an open-source Identity Provider. Access restrictions assigned to an application were not checked when using the OAuth2 Device code flow. This could potentially allow users without the correct authorization to get OAuth tokens for an application and access it. This issue has been patched in version(s) 2024.6.0, 2024.2.4 and 2024.4.3.
📍 영향받는 시스템
authentik (2024.6.0, 2024.2.4, 2024.4.3 미만 버전)
⚔️ 공격 벡터
OAuth2 Device code flow를 악용한 권한 우회 및 토큰 탈취
🛡️ 대응 방법
authentik을 최신 패치 버전(2024.6.0, 2024.2.4, 2024.4.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 패치된 버전(2024.6.0, 2024.2.4, 2024.4.3)보다 높은지 확인하십시오.
python3 -c 'import pkg_resources; print(pkg_resources.get_distribution("authentik").version)' 2>/dev/null || echo 'authentik not found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access