🇰🇷 한글 설명
Keycloak 인증 및 액세스 관리 솔루션의 User Session Note 매퍼에서 결함이 발견되었습니다. 매퍼가 요청된 세션 노트에 외부 ID 제공업체의 페더레이션 액세스 토큰과 같은 민감한 내부 자격 증명이 포함되어 있는지 검증하지 않아 발생합니다. 이로 인해 위임된 클라이언트 관리자가 사용자의 업스트림 베어러 토큰을 자신이 관리하는 애플리케이션에 발행되는 토큰으로 유출시켜 외부 플랫폼의 데이터에 무단 접근할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 사용자의 중요한 비밀번호나 인증 정보를 몰래 가로챌 수 있는 보안 약점입니다. 이를 통해 공격자는 사용자의 다른 서비스 계정까지 마음대로 이용할 수 있게 됩니다.
🇺🇸 원문 (English)
A flaw was found in the User Session Note mapper of the Keycloak identity and access management solution. The issue occurs because the mapper does not validate whether a requested session note contains sensitive internal credentials, such as federated access tokens from external identity providers. This allows a delegated client administrator to leak a user's upstream bearer tokens into the tokens issued to their managed application, potentially leading to unauthorized access to the user's data on external platforms.
📍 영향받는 시스템
Keycloak (User Session Note mapper 기능 사용 시)
⚔️ 공격 벡터
위임된 클라이언트 관리자가 세션 노트를 통해 사용자의 외부 인증 토큰을 탈취
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고 매퍼 설정 검토
🔧 검증 코드
설치된 Keycloak 버전이 해당 취약점이 해결된 최신 보안 패치 버전인지 확인합니다.
curl -s https://github.com/keycloak/keycloak/releases/tags/ | grep -E 'version_number'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access