🇰🇷 한글 설명
ForgeRock 클라이언트가 리프레시 토큰을 올바르게 검증하지 못하는 취약점입니다. 이로 인해 리프레시 토큰이 액세스 토큰처럼 취급되어 보호된 리소스에 직접 접근할 수 있으며, 클라이언트 자격 증명을 요구하는 보안 통제를 우회할 수 있습니다.
💡 쉬운 설명
로그인을 유지하기 위한 '재발급용 티켓'을 '사용 가능한 입장권'으로 잘못 인식하는 문제입니다. 해커가 재발급용 티켓을 훔치면 별도의 비밀번호 없이도 서비스에 바로 접속할 수 있습니다.
🇺🇸 원문 (English)
The ForgeRock client fails to correctly validate refresh tokens. This allows a refresh token to be treated as a valid access token, enabling its use for consuming protected resources. This bypasses the intended security control that requires valid client credentials in addition to a refresh token to obtain a new access token.
An attacker who obtains a stolen or exposed refresh token can leverage this vulnerability to directly access protected resources. This is possible because the standard security flow requiring client credentials to exchange a refresh token for an access token is circumvented.
📍 영향받는 시스템
ForgeRock Client (Refresh Token Validation Vulnerable Versions)
⚔️ 공격 벡터
탈취된 리프레시 토큰을 액세스 토큰처럼 사용하여 보호된 API 및 리소스에 직접 요청을 보냄
🛡️ 대응 방법
ForgeRock 보안 패치를 적용하여 리프레시 토큰과 액세스 토큰의 검증 로직을 분리하고 강화함
🔧 검증 코드
리프레시 토큰을 액세스 토큰 용도로 사용했을 때 적절한 인증 오류(invalid_token 등)가 발생하는지 확인
curl -s -X GET https://<forgerock-instance>/oidc/token | grep -i 'error'