🇰🇷 한글 설명
WSO2 Identity Server의 사용자 사칭(Impersonation) 흐름에서 사칭된 세션과 연결된 리프레시 토큰이 적절히 관리되지 않는 취약점입니다. 공격자가 사칭된 사용자의 액세스 토큰을 획득할 경우, 리프레시 토큰을 이용해 새로운 액세스 토큰을 계속 발급받아 해당 사용자로 지속적인 활동이 가능합니다.
💡 쉬운 설명
관리자가 다른 사용자로 변신해서 업무를 볼 때, 그 변신 상태를 유지하는 열쇠가 제대로 관리되지 않는 문제입니다. 해커가 이 열쇠를 훔치면 사용자인 척하며 계속해서 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
The user impersonation flow in WSO2 Identity Server fails to properly manage refresh tokens associated with impersonated sessions. This allows an attacker who has obtained an access token for an impersonated user to leverage the refresh token grant to obtain new access tokens, extending their ability to act as the legitimate user.
An attacker who gains access to an impersonated user's access token can exploit this weakness to renew their authorization. This results in the continued ability to perform actions on behalf of the actual user, compromising log integrity and traceability by masking the true actor.
📍 영향받는 시스템
WSO2 Identity Server (Impersonation 기능 사용 시)
⚔️ 공격 벡터
사칭된 사용자의 액세스 토큰을 탈취한 후 리프레시 토큰 권한 부여(Refresh Token Grant)를 이용한 권한 연장
🛡️ 대응 방법
WSO2에서 제공하는 최신 보안 패치를 적용하여 리프레시 토큰 관리 로직을 업데이트해야 합니다.
🔧 검증 코드
현재 설치된 WSO2 Identity Server의 버전을 확인하여 취약점이 해결된 패치 버전인지 대조합니다.
curl -s https://www.wso2.com/identity-server/ | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access