🇰🇷 한글 설명
오픈 소스 ID 관리 플랫폼인 ZITADEL에서 서비스 계정의 비활성화 메커니즘이 올바르게 작동하지 않는 취약점이 발견되었습니다. 비활성화된 서비스 계정이 여전히 토큰을 요청할 수 있어 애플리케이션 및 리소스에 대한 무단 접근을 허용할 수 있습니다.
💡 쉬운 설명
사용자 계정을 정지시켜도 서비스용 계정은 정지되지 않고 계속 접속할 수 있는 보안 결함입니다. 이로 인해 권한이 없는 사람이 시스템에 몰래 들어올 위험이 있습니다.
🇺🇸 원문 (English)
Zitadel is an open source identity management platform. ZITADEL's user account deactivation mechanism did not work correctly with service accounts. Deactivated service accounts retained the ability to request tokens, which could lead to unauthorized access to applications and resources. Versions 2.62.1, 2.61.1, 2.60.2, 2.59.3, 2.58.5, 2.57.5, 2.56.6, 2.55.8, and 2.54.10 have been released which address this issue. Users are advised t upgrade. Users unable to upgrade may instead of deactivating the service account, consider creating new credentials and replacing the old ones wherever they are used. This effectively prevents the deactivated service account from being utilized. Be sure to revoke all existing authentication keys associated with the service account and to rotate the service account's password.
📍 영향받는 시스템
ZITADEL (버전 2.62.1, 2.61.1, 2.60.2, 2.59.3, 2.58.5, 2.57.5, 2.56.6, 2.55.8, 2.54.10 미만 버전)
⚔️ 공격 벡터
비활성화된 서비스 계정의 토큰 요청 기능을 악용하여 권한 없는 리소스에 접근
🛡️ 대응 방법
ZITADEL을 최신 패치 버전으로 업그레이드하거나, 업그레이드가 불가능할 경우 기존 인증 키를 삭제하고 비밀번호를 교체하십시오.
🔧 검증 코드
출력된 ZITADEL 버전을 확인하여 보안 패치가 적용된 버전(예: 2.62.1 이상 등)인지 대조하십시오.
curl -s http://<zitadel-host>/healthz | grep -i 'version' || echo 'Check ZITADEL version via logs or API'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access