🇰🇷 한글 설명
Microsoft Identity Web 라이브러리를 사용하는 기밀 클라이언트 애플리케이션에서 클라이언트 비밀번호나 인증서 상세 정보와 같은 민감한 정보가 서비스 로그에 노출될 수 있는 취약점입니다. 특정 조건에서 로그 파일에 비밀번호, Base64 인코딩된 값 또는 인증서 경로가 포함될 수 있습니다. 이를 해결하기 위해서는 Microsoft.Identity.Web 3.8.2 또는 Microsoft.Identity.Abstractions 9.0.0 이상으로 업데이트해야 합니다.
💡 쉬운 설명
프로그램이 작동하면서 남기는 기록(로그)에 비밀번호나 인증서 같은 중요한 정보가 실수로 적힐 수 있는 문제입니다. 이 기록이 유출되면 해커가 시스템에 접근할 위험이 있으므로 최신 버전으로 업데이트가 필요합니다.
🇺🇸 원문 (English)
Microsoft Identity Web is a library which contains a set of reusable classes used in conjunction with ASP.NET Core for integrating with the Microsoft identity platform (formerly Azure AD v2.0 endpoint) and AAD B2C. This vulnerability affects confidential client applications, including daemons, web apps, and web APIs. Under specific circumstances, sensitive information such as client secrets or certificate details may be exposed in the service logs of these applications. Service logs are intended to be handled securely. Service logs generated at the information level or credential descriptions containing local file paths with passwords, Base64 encoded values, or Client secret. Additionally, logs of services using Base64 encoded certificates or certificate paths with password credential descriptions are also affected if the certificates are invalid or expired, regardless of the log level. Note that these credentials are not usable due to their invalid or expired status. To mitigate this vulnerability, update to Microsoft.Identity.Web 3.8.2 or Microsoft.Identity.Abstractions 9.0.0.
📍 영향받는 시스템
Microsoft.Identity.Web (3.8.2 미만 버전) 및 Microsoft.Identity.Abstractions (9.0.0 미만 버전)을 사용하는 데몬, 웹 앱, 웹 API
⚔️ 공격 벡터
서비스 로그에 기록된 민감한 정보(클라이언트 비밀번호, 인증서 상세 정보 등)를 탈취하여 공격 수행
🛡️ 대응 방법
Microsoft.Identity.Web을 3.8.2 버전으로 또는 Microsoft.Identity.Abstractions를 9.0.0 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 Microsoft.Identity.Web 버전이 3.8.2 이상인지, Microsoft.Identity.Abstractions 버전이 9.0.0 이상인지 확인합니다.
dotnet list package | grep -E 'Microsoft.Identity.Web|Microsoft.Identity.Abstractions'