🇰🇷 한글 설명
WSO2 Identity Server에서 적응형 인증 흐름 실행 시 조직 컨텍스트를 검증하지 않아 발생하는 취약점입니다. 특정 조직의 인증 설정을 구성할 권한이 있는 공격자가 이를 악용하여 다른 조직이나 하위 조직의 인증 로직을 실행할 수 있습니다. 이를 통해 조직 간 권한 경계를 우회하고 타 조직의 계정을 탈취하거나 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
한 회사의 관리자가 권한을 남용하여 다른 회사의 로그인 보안 절차를 마음대로 조작하거나 통과할 수 있는 문제입니다. 이로 인해 다른 조직의 사용자 계정이 해킹당하거나 중요한 정보에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Due to not validating the organization context when executing adaptive authentication flows, the WSO2 Identity Server allows adaptive authentication logic to be triggered on unintended organizations. A malicious actor with privileges to configure adaptive authentication within one organization can leverage this functionality to execute authentication logic on other organizations and sub-organizations.
This flaw allows bypassing authorization boundaries between organizations, leading to unauthorized access to critical operations and user accounts in other organizations. When adaptive authentication is enabled in a multi-organization deployment, a malicious actor with privileges to configure adaptive authentication in one organization could exploit this feature to perform critical operations in other organizations without authorization. This may result in privilege escalation, unauthorized access to resources, and potential account takeover across organizations.
📍 영향받는 시스템
WSO2 Identity Server (멀티 조직 배포 환경)
⚔️ 공격 벡터
한 조직 내의 인증 설정 권한을 이용해 타 조직의 인증 로직을 트리거하는 방식
🛡️ 대응 방법
WSO2에서 제공하는 최신 보안 패치를 적용하여 조직 컨텍스트 검증 로직을 업데이트해야 합니다.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 최신 패치 버전인지 제조사의 보안 권고문과 대조하여 확인합니다.
curl -s http://<target-ip>:<port>/wso2is/version | grep -i 'WSO2 Identity Server'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access