🇰🇷 한글 설명
Vault Community 및 Enterprise의 Azure 인증 방식에서 Azure 발행 토큰의 클레임을 올바르게 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 로그인 시 설정된 bound_locations 매개변수를 우회할 수 있는 위험이 있습니다. 해당 문제는 Vault Community 1.19.1 및 Enterprise 1.19.1, 1.18.7, 1.17.14, 1.16.18 버전에서 수정되었습니다.
💡 쉬운 설명
Azure를 통해 로그인할 때 사용자의 위치를 제한하는 보안 설정이 제대로 작동하지 않는 문제입니다. 공격자가 위치 제한을 무시하고 권한을 획득할 가능성이 있습니다.
🇺🇸 원문 (English)
Vault Community, Vault Enterprise (“Vault”) Azure Auth method did not correctly validate the claims in the Azure-issued token, resulting in the potential bypass of the bound_locations parameter on login. Fixed in Vault Community Edition 1.19.1 and Vault Enterprise 1.19.1, 1.18.7, 1.17.14, 1.16.18.
📍 영향받는 시스템
Vault Community (1.19.1 미만), Vault Enterprise (1.19.1 미만, 1.18.7 미만, 1.17.14 미만, 1.16.18 미만)
⚔️ 공격 벡터
Azure 인증 토큰의 클레임 검증 미흡을 이용한 bound_locations 매개변수 우회 공격
🛡️ 대응 방법
Vault를 수정된 최신 버전(Community 1.19.1 이상 또는 Enterprise 해당 패치 버전 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 패치 버전(예: Community 1.19.1 이상)인지 확인합니다.