🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 특정 버전에서 액세스 토큰 탈취 및 권한 오용 취약점이 발견되었습니다. 한 애플리케이션에서 발급된 토큰을 사용하여 다른 프록시 제공자 서비스로 사용자를 사칭하거나, 허가되지 않은 다른 애플리케이션에 접근할 수 있습니다.
💡 쉬운 설명
하나의 앱에서 받은 출입증을 가지고 다른 앱의 문을 마음대로 열 수 있는 보안 결함입니다. 이를 통해 공격자가 사용자인 척하며 허가되지 않은 서비스에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Prior to versions 2024.8.3 and 2024.6.5, access tokens issued to one application can be stolen by that application and used to impersonate the user against any other proxy provider. Also, a user can steal an access token they were legitimately issued for one application and use it to access another application that they aren't allowed to access. Anyone who has more than one proxy provider application with different trust domains or different access control is affected. Versions 2024.8.3 and 2024.6.5 fix the issue.
📍 영향받는 시스템
authentik versions prior to 2024.8.3 and 2024.6.5
⚔️ 공격 벡터
탈취된 액세스 토큰을 사용하여 다른 신뢰 도메인이나 접근 제어 권한이 다른 프록시 애플리케이션에 재사용
🛡️ 대응 방법
authentik을 버전 2024.8.3 또는 2024.6.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2024.8.3 또는 2024.6.5보다 낮은지 확인하십시오.
docker exec <container_id> authentik --version 2>/dev/null || echo 'Check version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access