🇰🇷 한글 설명
Janssen Project IAM 플랫폼의 1.8.0 미만 버전에서 Config API가 권한 범위 검증 없이 결과를 반환하는 취약점이 발견되었습니다. 이로 인해 클라이언트, 사용자, 스크립트 등 IDP의 민감한 정보가 노출될 수 있는 넓은 내부 공격 표면이 형성됩니다.
💡 쉬운 설명
로그인 및 권한을 관리하는 시스템에서 허가되지 않은 사용자가 내부의 중요한 정보를 마음대로 조회할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 사용자 정보나 시스템 설정 같은 민감한 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Janssen Project is an open-source identity and access management (IAM) platform. Prior to version 1.8.0, the Config API returns results without scope verification. This has a large internal surface attack area that exposes all sorts of information from the IDP including clients, users, scripts ..etc. This issue has been patched in version 1.8.0. A workaround for this vulnerability involves users forking and building the config api, patching it in their system following commit 92eea4d.
📍 영향받는 시스템
Janssen Project IAM (version < 1.8.0)
⚔️ 공격 벡터
권한 검증이 누락된 Config API를 호출하여 내부 정보를 탈취하는 방식
🛡️ 대응 방법
Janssen Project를 1.8.0 버전 이상으로 업데이트하거나, 커밋 92eea4d를 적용하여 Config API를 직접 패치해야 합니다.
🔧 검증 코드
API 호출 시 권한 없이 민감한 데이터가 반환되는지 확인하거나, 버전 정보를 통해 1.8.0 미만인지 체크합니다.
curl -s http://<target-ip>/api/v1/config | grep -i 'error' || echo 'Check API access control'
💻 영향받는 소프트웨어
IBM Verify Identity Access