🇰🇷 한글 설명
Duende IdentityServer의 로컬 API 인증 핸들러가 DPoP 액세스 토큰의 cnf 클레임을 충분히 검증하지 못하는 취약점입니다. 이로 인해 공격자가 증명 토큰(proof token) 서명에 필요한 개인 키를 보유하지 않고도 유출된 DPoP 액세스 토큰을 로컬 API 엔드포인트에서 사용할 수 있습니다. 이 취약점은 LocalApiAuthenticationHandler를 명시적으로 사용하는 커스텀 엔드포인트에만 영향을 미칩니다.
💡 쉬운 설명
도난당한 인증 토큰을 사용할 때 본인 확인을 거쳐야 하는데, 이 확인 절차가 허술하여 가짜 사용자가 토큰을 쓸 수 있는 문제입니다. 보안 키가 없어도 유출된 토큰만 있으면 시스템에 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Duende IdentityServer is an OpenID Connect and OAuth 2.x framework for ASP.NET Core. IdentityServer's local API authentication handler performs insufficient validation of the cnf claim in DPoP access tokens. This allows an attacker to use leaked DPoP access tokens at local api endpoints even without possessing the private key for signing proof tokens. Note that this only impacts custom endpoints within an IdentityServer implementation that have explicitly used the LocalApiAuthenticationHandler for authentication. This vulnerability is patched in IdentityServer 7.0.8. Version 6.3 and below are unaffected, as they do not support DPoP in Local APIs.
📍 영향받는 시스템
Duende IdentityServer 7.x 버전 중 7.0.8 미만 버전 (6.3 이하 버전은 영향 없음)
⚔️ 공격 벡터
유출된 DPoP 액세스 토큰을 사용하여 인증 검증이 미흡한 로컬 API 엔드포인트에 직접 요청을 보냄
🛡️ 대응 방법
Duende IdentityServer를 7.0.8 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Duende.IdentityServer의 버전이 7.0.8 미만인지 확인하십시오.
dotnet list package | grep Duende.IdentityServer
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access