🇰🇷 한글 설명
Keycloak ID 관리 서비스의 설치 제공자 및 클라이언트 등록 엔드포인트에서 결함이 발견되었습니다. 읽기 전용 view-clients 권한만 가진 영역 관리자가 모든 기밀 클라이언트의 활성 기본 비밀번호(primary secret)에 접근할 수 있어, 이를 통해 클라이언트를 사칭하고 서비스 계정 권한을 탈취할 수 있습니다.
💡 쉬운 설명
권한이 낮은 관리자가 다른 서비스의 비밀번호를 몰래 훔쳐볼 수 있는 보안 취약점입니다. 해커가 이 비밀번호를 이용하면 마치 정상적인 서비스인 것처럼 속여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the installation provider and client registration endpoints of the Keycloak identity management service. A realm administrator with only the read-only view-clients role can access the active primary secret of any confidential client, which should normally be restricted. This exposed secret can be used to impersonate the client and gain unauthorized access to its associated service account permissions.
📍 영향받는 시스템
Keycloak identity management service (설치 제공자 및 클라이언트 등록 엔드포인트 사용 버전)
⚔️ 공격 벡터
view-clients 권한을 가진 내부 관리자가 API 엔드포인트를 통해 기밀 클라이언트의 secret 값을 조회하여 탈취
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 클라이언트 권한 설정(RBAC) 재검토
🔧 검증 코드
view-clients 권한만 있는 계정으로 호출했을 때 클라이언트의 secret 값이 노출되면 취약한 상태입니다.
curl -s -u admin:password https://<keycloak-host>/auth/admin/realms/<realm>/clients | grep -i 'secret'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access