🇰🇷 한글 설명
오픈 소스 ID 관리 플랫폼인 Zitadel의 V2Beta API에서 보안 결함이 발견되었습니다. 특정 관리자 권한을 가진 인증된 사용자가 다른 조직의 조직 수준 데이터(이름, 도메인, 메타데이터)에 접근하거나 이를 수정할 수 있는 IDOR 취약점이 존재합니다.
💡 쉬운 설명
로그인한 관리자가 권한을 넘어 다른 회사의 기본 정보(이름이나 도메인 등)를 몰래 보거나 바꿀 수 있는 문제입니다. 다만, 사용자 정보나 프로젝트 같은 중요한 데이터는 안전합니다.
🇺🇸 원문 (English)
Zitadel is an open source identity management platform. Versions 4.0.0-rc.1 through 4.6.2 are vulnerable to secure Direct Object Reference (IDOR) attacks through its V2Beta API, allowing authenticated users with specific administrator roles within one organization to access and modify data belonging to other organizations. Note that this vulnerability is limited to organization-level data (name, domains, metadata). No other related data (such as users, projects, applications, etc.) is affected. This issue is fixed in version 4.6.3.
📍 영향받는 시스템
Zitadel 버전 4.0.0-rc.1 ~ 4.6.2
⚔️ 공격 벡터
V2Beta API를 통한 부적절한 객체 참조(IDOR) 공격
🛡️ 대응 방법
Zitadel을 버전 4.6.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 4.6.3 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<zitadel-host>/health | grep -i 'version' || echo 'Check version via CLI/API'
💻 영향받는 소프트웨어
IBM Verify Identity Access