🇰🇷 한글 설명
ZITADEL의 세션 관리 API에서 권한 확인 절차가 누락되어, 인증된 사용자가 세션 ID만 알면 다른 사용자의 세션을 업데이트할 수 있는 취약점입니다. 이를 통해 공격자는 타인의 세션을 탈취하여 민감한 정보에 접근하거나 사용자 권한을 도용할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 세션 번호만 알면 그 사람의 계정을 마음대로 조작할 수 있는 보안 결함입니다. 공격자가 이 방법을 사용하면 마치 다른 사용자인 것처럼 속여 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
ZITADEL is an open source identity management system. Starting in version 2.53.0 and prior to versions 4.0.0-rc.2, 3.3.2, 2.71.13, and 2.70.14, vulnerability in ZITADEL's session management API allows any authenticated user to update a session if they know its ID, due to a missing permission check. This flaw enables session hijacking, allowing an attacker to impersonate another user and access sensitive resources. Versions prior to `2.53.0` are not affected, as they required the session token for updates. Versions 4.0.0-rc.2, 3.3.2, 2.71.13, and 2.70.14 fix the issue.
📍 영향받는 시스템
ZITADEL 2.53.0 이상 버전 중 4.0.0-rc.2, 3.3.2, 2.71.13, 2.70.14 미만 버전
⚔️ 공격 벡터
인증된 사용자가 취약한 세션 관리 API를 통해 특정 세션 ID를 대상으로 업데이트 요청을 전송
🛡️ 대응 방법
ZITADEL을 수정된 버전(4.0.0-rc.2, 3.3.2, 2.71.13, 2.70.14 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 범위(2.53.0 ~ 4.0.0-rc.2 미만 등)에 해당하면 보안 업데이트가 필요합니다.
curl -s https://raw.githubusercontent.com/zitadel/zitadel/main/VERSION | grep -E '^(2\.[5-9]\.|3\.[0-2]\.|4\.0\.0-rc\.[0-1]|2\.7[0-1]\.[0-1][0-3])$'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access