🇰🇷 한글 설명
보조 사용자 저장소가 구성된 경우, 암시적 연결 해결사가 기본 저장소를 건너뛰고 보조 저장소에서 초기화되는 취약점이 있습니다. 이로 인해 동일한 식별 정보(사용자 이름 또는 이메일)가 두 저장소에 모두 존재할 경우, 사용자가 의도하지 않은 로컬 계정과 연결되어 신원 혼동이 발생할 수 있습니다.
💡 쉬운 설명
로그인 정보가 여러 곳에 저장되어 있을 때, 시스템이 엉뚱한 계정을 진짜 사용자로 착각하는 문제입니다. 이로 인해 권한이 낮은 계정으로 로그인되어 서비스 이용에 제한을 받을 수 있습니다.
🇺🇸 원문 (English)
When secondary user stores are configured, the implicit-association resolver incorrectly initializes from a secondary user store and bypasses the primary user store during search and uniqueness checks. This allows a subject to be associated with an unintended local account if the same lookup claim (e.g., username or email) exists in both the primary and a secondary store.
If duplicate claim values exist across user stores, this issue can lead to identity confusion due to incorrect implicit associations when using an external Identity Provider (IDP). Legitimate user accounts in the primary user store may fail to associate correctly with their corresponding external IDP accounts, potentially restricting access if the secondary account has fewer privileges. Deployments are not affected if no secondary user stores are configured, implicit association is disabled, or claim values are globally unique.
📍 영향받는 시스템
보조 사용자 저장소(Secondary User Stores)가 구성된 시스템
⚔️ 공격 벡터
기본 저장소와 보조 저장소에 동일한 식별 값(이메일, 사용자명 등)이 존재할 경우 발생하는 신원 혼동 공격
🛡️ 대응 방법
보조 사용자 저장소 설정을 검토하거나, 모든 식별 값이 전역적으로 고유하도록 관리하고, 최신 보안 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 보조 사용자 저장소 설정이 나타나면 해당 취약점의 영향 범위에 해당할 가능성이 높습니다.
grep -r "secondary_user_store" /etc/config_path/ 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access