🇰🇷 한글 설명
Zulip Server 12.1 이하 버전의 GenericOpenIdConnectBackend에서 이메일 인증 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 신뢰할 수 없는 ID 제공자가 인증되지 않은 이메일 주소를 반환하더라도, Zulip이 이를 기존 계정의 이메일과 일치시키면 로그인을 허용할 수 있습니다. 이 문제는 12.2 버전에서 수정되었습니다.
💡 쉬운 설명
로그인할 때 사용하는 이메일이 진짜 본인 것인지 확인하는 절차를 건너뛰는 보안 허점이 있습니다. 공격자가 다른 사람의 이메일 주소를 도용하여 해당 계정으로 몰래 로그인할 위험이 있습니다.
🇺🇸 원문 (English)
Zulip is an open-source team collaboration tool. In Zulip Server versions through 12.1, GenericOpenIdConnectBackend matches the identity provider email claim to an active account's delivery_email without rejecting an explicitly false email_verified claim. If a configured identity provider returns an email address that the authenticating user does not control together with email_verified=false, Zulip can log the user into the existing account for that address. Exploitation requires a misconfigured trusted identity provider, and deployments whose authoritative identity provider only emits email addresses controlled by the authenticating user are not affected. This issue is fixed in version 12.2.
📍 영향받는 시스템
Zulip Server versions through 12.1
⚔️ 공격 벡터
설정이 잘못된 ID 제공자(IdP)를 통해 인증되지 않은(email_verified=false) 이메일 주소로 기존 계정에 로그인 시도
🛡️ 대응 방법
Zulip Server를 12.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 12.2 미만(예: 12.1, 11.x 등)이면 취약한 상태입니다.
python3 -c 'import zulip; print(zulip.__version__)' 2>/dev/null || echo 'Version check failed'