🇰🇷 한글 설명
Ory Kratos 1.3.0 미만 버전에서 특정 조건 시 사용자의 최고 인증 수준(AAL)을 실제보다 낮게 잘못 인식하는 취약점이 존재합니다. 이로 인해 MFA(다요소 인증)가 설정된 사용자임에도 불구하고 aal2 세션 없이 특정 엔드포인트에 접근할 수 있는 보안 우회 가능성이 있습니다.
💡 쉬운 설명
사용자가 보안을 위해 2단계 인증을 설정했음에도 불구하고, 시스템이 이를 1단계 인증만 한 것으로 착각하여 보안 검사를 제대로 하지 못하는 문제입니다. 공격자가 사용자의 로그인 번호를 알아낼 경우, 추가 인증 없이 시스템에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Ory Kratos is an identity, user management and authentication system for cloud services. Prior to version 1.3.0, given a number of preconditions, the `highest_available` setting will incorrectly assume that the identity’s highest available AAL is `aal1` even though it really is `aal2`. This means that the `highest_available` configuration will act as if the user has only one factor set up, for that particular user. This means that they can call the settings and whoami endpoint without a `aal2` session, even though that should be disallowed. An attacker would need to steal or guess a valid login OTP of a user who has only OTP for login enabled and who has an incorrect `available_aal` value stored, to exploit this vulnerability. All other aspects of the session (e.g. the session’s aal) are not impacted by this issue. On the Ory Network, only 0.00066% of registered users were affected by this issue, and most of those users appeared to be test users. Their respective AAL values have since been updated and they are no longer vulnerable to this attack. Version 1.3.0 is not affected by this issue. As a workaround, those who require MFA should disable the passwordless code login method. If that is not possible, check the sessions `aal` to identify if the user has `aal1` or `aal2`.
📍 영향받는 시스템
Ory Kratos version < 1.3.0
⚔️ 공격 벡터
사용자의 OTP를 탈취하거나 추측하여 aal2 인증이 필요한 엔드포인트에 접근 시도
🛡️ 대응 방법
Ory Kratos를 1.3.0 버전 이상으로 업데이트하거나, 임시 조치로 passwordless code login 방식을 비활성화함
🔧 검증 코드
출력된 Kratos 버전이 1.3.0 미만인지 확인하여 취약 여부를 판단합니다.
ory version | grep -E 'kratos/[0-9]+\.[0-9]+\.[0-9]+'