🇰🇷 한글 설명
authd 0.7.1 이전 버전에서 UpdateUser 함수가 제공자 ID가 일치하지 않을 경우 사용자 이름으로 식별자를 대체하는 취약점이 존재합니다. 이로 인해 ID 제공자(IdP)가 이메일 주소를 새 계정에 재할당할 경우, 새 사용자가 이전 사용자의 UID와 홈 디렉터리 권한을 상속받아 개인 파일 및 자격 증명에 접근할 수 있습니다.
💡 쉬운 설명
이메일 주소가 바뀌면서 새로운 사람이 예전 사용자의 아이디를 쓰게 될 때, 시스템이 예전 사람의 파일 권한까지 그대로 넘겨주는 문제입니다. 이로 인해 새로운 사용자가 이전 사용자의 비밀번호나 중요한 파일을 몰래 볼 수 있습니다.
🇺🇸 원문 (English)
In authd before 0.7.1, the user identity matching in UpdateUser (internal/users/manager.go) resolves an incoming login by the broker-scoped provider ID, but falls back to matching the username when the provider ID does not belong to any known user, and does not reject a conflicting non-empty provider ID. If an identity provider reassigns an email address, which authd uses as the username, to a new account, the new account inherits the previous user's local UID and home directory on its next login. This allows the new user to access and modify files belonging to the previous user, including credentials such as SSH keys and cloud API tokens, and silently rebinds the local account record to the new identity. As a mitigation, administrators should lock or delete the previous user's local authd account when the corresponding IdP account is removed.
📍 영향받는 시스템
authd version < 0.7.1
⚔️ 공격 벡터
IdP에서 이메일 주소가 재할당된 계정으로 로그인하여 기존 사용자의 로컬 계정 권한을 탈취
🛡️ 대응 방법
authd를 0.7.1 이상 버전으로 업데이트하거나, IdP 계정 삭제 시 로컬 authd 계정도 함께 삭제/잠금 처리
🔧 검증 코드
출력된 버전이 0.7.1 미만인 경우 해당 취약점에 노출된 상태입니다.
authd --version 2>/dev/null | grep -E '0\.[0-7]\.'
💻 영향받는 소프트웨어
IBM Verify Identity Access