🇰🇷 한글 설명
Himmelblau 0.9.x 버전은 Entra ID 그룹의 표시 이름을 기반으로 숫자 GID를 생성하므로, 이름이 동일한 서로 다른 그룹이 동일한 GID를 가질 수 있습니다. 이로 인해 권한이 있는 그룹과 이름이 같은 그룹에 속한 사용자가 시스템 리소스에 의도치 않게 접근할 수 있는 보안 취약점이 존재합니다.
💡 쉬운 설명
서로 다른 그룹이라도 이름이 같으면 컴퓨터가 같은 그룹으로 착각하여 권한을 잘못 부여할 수 있는 문제입니다. 이름이 같은 그룹을 만든 사용자가 원래 허용되지 않은 파일이나 폴더에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Himmelblau is an interoperability suite for Microsoft Azure Entra ID and Intune. Himmelblau 0.9.x derives numeric GIDs for Entra ID groups from the group display name when himmelblau.conf `id_attr_map = name` (the default configuration). Because Microsoft Entra ID allows multiple groups with the same `displayName` (including end-user–created personal/O365 groups, depending on tenant policy), distinct directory groups can collapse to the same numeric GID on Linux. This issue only applies to Himmelblau versions 0.9.0 through 0.9.22. Any resource or service on a Himmelblau-joined host that enforces authorization by numeric GID (files/dirs, etc.) can be unintentionally accessible to a user who creates or joins a different Entra/O365 group that happens to share the same `displayName` as a privileged security group. Users should upgrade to 0.9.23, or 1.0.0 or later, to receive a patch. Group to GID mapping now uses Entra ID object IDs (GUIDs) and does not collide on same-name groups. As a workaround, use tenant policy hardening to restrict arbitrary group creation until all hosts are patched.
📍 영향받는 시스템
Himmelblau versions 0.9.0 through 0.9.22
⚔️ 공격 벡터
권한이 있는 그룹과 동일한 displayName을 가진 그룹을 생성하거나 해당 그룹에 가입하여 GID 충돌을 유도함
🛡️ 대응 방법
Himmelblau 0.9.23 또는 1.0.0 이상의 버전으로 업그레이드하거나, 패치 전까지 테넌트 정책을 통해 임의의 그룹 생성을 제한함
🔧 검증 코드
출력된 버전이 0.9.0에서 0.9.22 사이라면 해당 취약점에 노출된 상태입니다.
himmelblau --version 2>/dev/null || dpkg -l | grep himmelblau 2>/dev/null