🇰🇷 한글 설명
ZITADEL 3.0.0~3.4.15 및 4.x(4.17.3 미만) 버전의 User Service API에서 권한 검증 오류가 발견되었습니다. 인증된 사용자가 자신의 조직 권한을 이용해 다른 조직에 속한 사용자의 인증 방식 정보를 조회할 수 있는 결함입니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 허가되지 않은 다른 조직 사람들의 로그인 방식 정보를 몰래 훔쳐볼 수 있는 보안 약점입니다. 이는 개인정보 노출 및 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
ZITADEL 3.0.0 through 3.4.15 and 4.x before 4.17.3 contains an incorrect authorization flaw in the User Service API, which verifies user.read against the caller's organization rather than the organization owning the target user. An authenticated member holding org-scoped user.read can query GET /v2/users/{userId}/authentication_methods to learn which authentication method types users in other organizations have registered.
📍 영향받는 시스템
ZITADEL 3.0.0 ~ 3.4.15 및 4.x (4.17.3 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 API를 통해 타 조직 사용자의 인증 수단 정보를 조회하는 방식
🛡️ 대응 방법
ZITADEL을 최신 보안 패치가 적용된 버전(4.17.3 이상 등)으로 업데이트하십시오.
🔧 검증 코드
실행 결과에 나타난 ZITADEL 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
curl -s http://<zitadel-host>/health | grep -i 'version' || echo 'Check ZITADEL version via CLI or logs'
💻 영향받는 소프트웨어
Windows iSCSI Target Service