🇰🇷 한글 설명
Keycloak의 동적 클라이언트 등록(Dynamic Client Registration) 과정에서 보안 민감 속성이 제대로 필터링되지 않는 결함이 발견되었습니다. 공격자가 유효한 초기 액세스 토큰을 보유한 경우, 토큰 검사 시 대상(audience) 확인을 우회하는 클라이언트를 등록할 수 있습니다. 이를 통해 동일한 영역(realm) 내 다른 애플리케이션의 액세스 토큰에 포함된 민감한 신원 정보, 역할 및 세션 세부 정보를 탈취할 수 있습니다.
💡 쉬운 설명
Keycloak 시스템에서 새로운 사용자를 등록할 때 보안 검사가 제대로 이루어지지 않는 허점이 있습니다. 이를 악용하면 공격자가 다른 사용자의 중요한 개인 정보나 권한 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Dynamic Client Registration flow of the Keycloak identity and access management server. The issue occurs because the registration process fails to filter security-sensitive client attributes when a new client is created. An attacker with a valid Initial Access Token can register a client that bypasses audience checks during token introspection. This allows the attacker to view sensitive identity information, roles, and session details from access tokens belonging to other applications in the same realm.
📍 영향받는 시스템
Keycloak Identity and Access Management Server (Dynamic Client Registration 기능 사용 시)
⚔️ 공격 벡터
유효한 초기 액세스 토큰을 사용하여 보안 속성이 필터링되지 않은 클라이언트를 등록한 후 토큰 검사(Introspection)를 통해 타 서비스의 정보를 탈취
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고, 동적 클라이언트 등록 설정 시 보안 속성 필터링이 적용되었는지 확인
🔧 검증 코드
현재 Keycloak 서버의 상태를 확인하고, 공식 보안 공지에 명시된 패치 버전이 적용되었는지 관리 콘솔에서 대조하여 확인
curl -s -X GET http://<keycloak-server>/health/ | grep -i 'status'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access