🇰🇷 한글 설명
Auth0-PHP SDK의 CookieStore 설정에서 세션 쿠키 인증 태그를 브루트포스 공격으로 우회할 수 있는 취약점입니다. 버전 8.0.0-BETA1부터 8.14.0 이전까지 영향을 받으며, 공격자가 유효한 세션을 위조하여 무단 접근할 수 있습니다. v8.14.0으로 업그레이드하고 쿠키 암호화 키를 회전할 것이 권장됩니다.
💡 쉬운 설명
Auth0를 사용하는 PHP 웹 애플리케이션에서 로그인 정보를 담은 쿠키가 충분히 보호되지 않아, 해커가 추측을 통해 가짜 쿠키를 만들 수 있는 문제입니다. 이를 통해 다른 사용자처럼 로그인할 수 있게 됩니다.
🇺🇸 원문 (English)
Auth0-PHP provides the PHP SDK for Auth0 Authentication and Management APIs. Starting in version 8.0.0-BETA1 and prior to version 8.14.0, session cookies of applications using the Auth0-PHP SDK configured with CookieStore have authentication tags that can be brute forced, which may result in unauthorized access. Certain pre-conditions are required to be vulnerable to this issue: Applications using the Auth0-PHP SDK, or the Auth0/symfony, Auth0/laravel-auth0, and Auth0/wordpress SDKs that rely on the Auth0-PHP SDK; and session storage configured with CookieStore. Upgrade Auth0/Auth0-PHP to v8.14.0 to receive a patch. As an additional precautionary measure, rotating cookie encryption keys is recommended. Note that once updated, any previous session cookies will be rejected.
📍 영향받는 시스템
Auth0-PHP SDK 버전 8.0.0-BETA1 ~ 8.13.x (CookieStore 저장소 사용 시)
⚔️ 공격 벡터
세션 쿠키의 인증 태그를 브루트포스 공격으로 우회하여 유효한 세션 위조
🛡️ 대응 방법
Auth0-PHP SDK를 v8.14.0 이상으로 업그레이드 및 쿠키 암호화 키 회전
🔧 검증 코드
출력된 버전이 8.14.0 이상인지 확인하며, 8.14.0 미만이면 즉시 업그레이드 필요
composer show auth0/auth0-php 2>/dev/null | grep -E 'version|versions' | head -1