🇰🇷 한글 설명
오픈소스 ID 인프라 소프트웨어인 Zitadel에서 사용자 셀프 등록 비활성화 설정이 제대로 작동하지 않는 보안 결함이 발견되었습니다. 특정 버전들에서 관리자가 등록 옵션을 꺼두더라도 공격자가 등록 URL에 직접 접근함으로써 사용자를 임의로 생성할 수 있습니다.
💡 쉬운 설명
관리자가 회원가입 버튼을 숨겨도, 주소를 직접 입력하면 회원가입이 가능한 보안 구멍이 있습니다. 이로 인해 허가되지 않은 사용자가 시스템에 몰래 가입할 수 있습니다.
🇺🇸 원문 (English)
The open-source identity infrastructure software Zitadel allows administrators to disable the user self-registration. Due to a missing security check in versions prior to 2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, and 2.58.7, disabling the "User Registration allowed" option only hid the registration button on the login page. Users could bypass this restriction by directly accessing the registration URL (/ui/login/loginname) and register a user that way. Versions 2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, and 2.58.7 contain a patch. No known workarounds are available.
📍 영향받는 시스템
Zitadel versions prior to 2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, and 2.58.7
⚔️ 공격 벡터
비활성화된 회원가입 페이지의 특정 URL(/ui/login/loginname)에 직접 접근하여 사용자 등록 시도
🛡️ 대응 방법
패치가 적용된 최신 버전(2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, 2.58.7 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 패치가 포함된 안전한 버전(2.64.0, 2.63.5 등)인지 확인하십시오.
zitadel --version 2>/dev/null || echo 'Version not found'