🇰🇷 한글 설명
오픈소스 ID 인프라 소프트웨어인 Zitadel에서 만료된 키를 사용하여 토큰을 가져올 수 있는 취약점이 발견되었습니다. 구체적으로 Authorization Grants 과정에서 JWT 키의 만료 날짜를 제대로 확인하지 않아, 공격자가 만료된 키로 유효한 액세스 토큰을 획득할 수 있습니다.
💡 쉬운 설명
유효 기간이 지난 열쇠를 사용해도 시스템이 이를 걸러내지 못해 보안이 뚫리는 문제입니다. 공격자가 오래된 열쇠를 이용해 마치 정당한 권한이 있는 것처럼 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
Zitadel is open-source identity infrastructure software. A vulnerability existed where expired keys can be used to retrieve tokens. Specifically, ZITADEL fails to properly check the expiration date of the JWT key when used for Authorization Grants. This allows an attacker with an expired key to obtain valid access tokens. This vulnerability does not affect the use of JWT Profile for OAuth 2.0 Client Authentication on the Token and Introspection endpoints, which correctly reject expired keys. This vulnerability is fixed in 2.71.6, 2.70.8, 2.69.9, 2.68.9, 2.67.13, 2.66.16, 2.65.7, 2.64.6, and 2.63.9.
📍 영향받는 시스템
Zitadel (2.71.6, 2.70.8, 2.69.9, 2.68.9, 2.67.13, 2.66.16, 2.65.7, 2.64.6, 2.63.9 미만 버전)
⚔️ 공격 벡터
만료된 JWT 키를 사용하여 Authorization Grants 요청을 보내 유효한 액세스 토큰을 탈취함
🛡️ 대응 방법
Zitadel을 수정된 버전(2.71.6, 2.70.8, 2.69.9, 2.68.9, 2.67.13, 2.66.16, 2.65.7, 2.64.6, 2.63.9 중 하나)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 보안 패치가 적용된 최소 버전(예: 2.71.6 등)보다 낮은지 확인하십시오.
zitadel --version 2>/dev/null || echo 'Check your installed Zitadel version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access