🇰🇷 한글 설명
pretix를 고객 계정용 SSO 아이덴티티 제공자로 사용할 때, 인증 요청의 response_type을 SSO 클라이언트에 설정된 grant type과 대조하여 검증하지 않는 문제입니다. 'code'만 허용하도록 설정된 클라이언트도 'id_token' 등 다른 response_type을 요청하면 유효한 토큰을 받을 수 있습니다. 공격을 위해서는 클라이언트 설정에 등록된 redirect_uri 페이지에서 JavaScript를 실행할 수 있어야 합니다.
💡 쉬운 설명
pretix를 로그인 통합 서버로 쓰는 경우, 허용되지 않은 방식으로 요청해도 로그인 토큰을 받을 수 있는 문제입니다. 공격자가 허용된 웹페이지에 악성 스크립트를 심을 수 있다면 이 토큰을 빼낼 수 있습니다.
🇺🇸 원문 (English)
When pretix is used as the identity provider in a Single-Sign-On (SSO) setup for customer accounts, the system did not properly validate the `response_type` requested in an authorization request against the configured grant type of the SSO client. This means that if an SSO client was configured to only allow the `code` response type, which requires knowledge of the client secret to use and would wrongfully send a response type like `id_token`, it would receive back a valid token. Exploiting this requires the attacker to run JavaScript on the page specified by `redirect_uri`, which must be from a list specified in the client configuration.
📍 영향받는 시스템
pretix를 SSO 아이덴티티 제공자로 사용하는 환경 (취약 버전은 공식 권고문 확인 필요)
⚔️ 공격 벡터
허용된 redirect_uri 페이지에서 JavaScript를 실행한 뒤, 허용되지 않은 response_type(id_token 등)으로 인증 요청을 보내 토큰을 탈취
🛡️ 대응 방법
pretix를 패치된 최신 버전으로 업데이트하고, SSO 클라이언트의 redirect_uri 목록과 허용 response_type을 최소화
🔧 검증 코드
출력된 Version 값을 pretix 공식 보안 권고에 명시된 패치 버전과 비교하여, 같거나 높으면 수정된 것이고 낮으면 취약할 수 있습니다.
pip show pretix 2>/dev/null | grep -i version