🇰🇷 한글 설명
오픈 소스 ID 관리 플랫폼인 ZITADEL의 사용자 권한 비활성화 메커니즘이 올바르게 작동하지 않는 취약점입니다. 비활성화된 사용자 권한이 토큰에 여전히 포함되어 애플리케이션 및 리소스에 대한 무단 액세스가 발생할 수 있으며, API가 권한 상태를 정확히 반환하지 않는 문제가 있습니다.
💡 쉬운 설명
사용자의 권한을 정지시켜도 시스템이 이를 제대로 인식하지 못해 여전히 접속이 가능한 보안 결함입니다. 이로 인해 권한이 없는 사용자가 중요한 데이터나 서비스에 몰래 들어갈 위험이 있습니다.
🇺🇸 원문 (English)
Zitadel is an open source identity management platform. ZITADEL's user grants deactivation mechanism did not work correctly. Deactivated user grants were still provided in token, which could lead to unauthorized access to applications and resources. Additionally, the management and auth API always returned the state as active or did not provide any information about the state. Versions 2.62.1, 2.61.1, 2.60.2, 2.59.3, 2.58.5, 2.57.5, 2.56.6, 2.55.8, and 2.54.10 have been released which address this issue. Users are advised to upgrade. Users unable to upgrade may explicitly remove the user grants to make sure the user does not get access anymore.
📍 영향받는 시스템
ZITADEL versions 2.62.1, 2.61.1, 2.60.2, 2.59.3, 2.58.5, 2.57.5, 2.56.6, 2.55.8, 2.54.10 미만 버전
⚔️ 공격 벡터
비활성화된 권한이 포함된 토큰을 사용하여 권한이 없는 애플리케이션 및 리소스에 접근
🛡️ 대응 방법
ZITADEL을 최신 패치 버전으로 업그레이드하거나, 업그레이드가 불가능할 경우 해당 사용자의 권한(user grants)을 명시적으로 삭제
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(예: 2.62.1 이상 등)인지 확인하십시오.
zitadel --version 2>/dev/null || echo 'Check installed version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access