🇰🇷 한글 설명
Wasp 프레임워크의 OAuth 인증 구현에서 사용자 ID를 소문자로 변환하는 취약점으로, Keycloak의 대소문자 구분 설정 시 사용자 가장 및 계정 충돌이 발생할 수 있습니다. 버전 0.16.6 이상으로 업데이트하거나 Keycloak에서 대소문자 구분을 비활성화하여 완화할 수 있습니다.
💡 쉬운 설명
Wasp 프레임워크가 Keycloak 로그인 시 사용자 ID를 항상 소문자로 변환하면서, 대소문자가 다른 사용자들이 같은 계정으로 인식되는 문제입니다. 이를 통해 공격자가 다른 사람의 계정에 접근할 수 있습니다.
🇺🇸 원문 (English)
Wasp (Web Application Specification) is a Rails-like framework for React, Node.js, and Prisma. Prior to version 0.16.6, Wasp authentication has a vulnerability in the OAuth authentication implementation (affecting only Keycloak with a specific config). Wasp currently lowercases OAuth user IDs before storing / fetching them. This behavior violates OAuth and OpenID Connect specifications and can result in user impersonation, account collisions, and privilege escalation. In practice, out of the OAuth providers that Wasp auth supports, only Keycloak is affected. Keycloak uses a lowercase UUID by default, but users can configure it to be case sensitive, making it affected. Google, GitHub, and Discord use numerical IDs, making them not affected. Users should update their Wasp version to `0.16.6` which has a fix for the problematic behavior. Users using Keycloak can work around the issue by not using a case sensitive user ID in their realm configuration.
📍 영향받는 시스템
Wasp 프레임워크 0.16.6 미만 버전 (Keycloak 대소문자 구분 설정 시만 영향)
⚔️ 공격 벡터
대소문자가 다른 Keycloak 사용자 ID로 인증 시도 시 기존 소문자 계정으로 인식되어 계정 가장 가능
🛡️ 대응 방법
Wasp를 0.16.6 이상으로 업데이트하거나 Keycloak 영역 설정에서 대소문자 구분 비활성화
🔧 검증 코드
설치된 Wasp 버전이 0.16.6 미만이면 업데이트 필요, 버전이 없으면 영향 없음
npm list wasp 2>/dev/null | grep -E 'wasp@[0-9]' || echo 'Wasp not installed'