🇰🇷 한글 설명
ZITADEL의 Session API에서 idp intent 기능을 반복적으로 사용하여 사용자 ID와 토큰을 탈취할 수 있는 취약점입니다. 공격자가 애플리케이션 URI에 접근할 수 있다면 사용자를 대신하여 인증을 수행할 수 있습니다. 다만, MFA(다요소 인증)가 설정된 경우 완전한 인증 및 API 접근은 차단됩니다.
💡 쉬운 설명
로그인 과정에서 생성되는 인증 정보를 반복적인 요청을 통해 가로챌 수 있는 보안 결함입니다. 공격자가 사용자의 아이디와 토큰을 훔쳐 사용자처럼 행동할 수 있지만, 추가 인증(MFA)이 있다면 막을 수 있습니다.
🇺🇸 원문 (English)
The identity infrastructure software ZITADEL offers developers the ability to manage user sessions using the Session API. This API enables the use of IdPs for authentication, known as idp intents. Following a successful idp intent, the client receives an id and token on a predefined URI. These id and token can then be used to authenticate the user or their session. However, prior to versions 3.0.0, 2.71.9, and 2.70.10, it was possible to exploit this feature by repeatedly using intents. This allowed an attacker with access to the application’s URI to retrieve the id and token, enabling them to authenticate on behalf of the user. It's important to note that the use of additional factors (MFA) prevents a complete authentication process and, consequently, access to the ZITADEL API. Versions 3.0.0, 2.71.9, and 2.70.10 contain a fix for the issue. No known workarounds other than upgrading are available.
📍 영향받는 시스템
ZITADEL versions prior to 3.0.0, 2.71.9, and 2.70.10
⚔️ 공격 벡터
애플리케이션 URI에 접근하여 idp intent를 반복적으로 사용하여 ID와 토큰을 탈취하는 방식
🛡️ 대응 방법
ZITADEL을 버전 3.0.0, 2.71.9 또는 2.70.10 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 3.0.0, 2.71.9, 2.70.10 중 하나이거나 그보다 높은지 확인하십시오.
zitadel --version 2>/dev/null || echo 'Version check failed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access