🇰🇷 한글 설명
Keycloak 인증 및 액세스 관리 솔루션의 '사용자 로케일 업데이트' 작업에서 결함이 발견되었습니다. 특정 설정 순서에서 OTP 구성 작업이 강제되지 않아, 유효한 비밀번호를 가진 공격자가 OTP 설정 없이 계정에 접속할 수 있습니다.
💡 쉬운 설명
로그인할 때 반드시 설정해야 하는 2차 인증(OTP) 단계를 건너뛸 수 있는 보안 허점이 발견되었습니다. 해커가 아이디와 비밀번호만 알아내면 추가 인증 없이 바로 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Update User Locale required action of the Keycloak identity and access management solution. When this action is ordered before the Configure OTP action in a realm, the system may fail to enforce mandatory multi-factor authentication enrollment during the login process. This issue allows an attacker with a valid password to access an account without setting up the required one-time password (OTP) credential.
📍 영향받는 시스템
Keycloak (Update User Locale 작업이 Configure OTP보다 먼저 실행되도록 설정된 환경)
⚔️ 공격 벡터
유효한 비밀번호를 탈취한 공격자가 MFA(OTP) 설정 단계를 우회하여 로그인 시도
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 인증 흐름(Authentication Flow) 설정을 재검토하여 OTP 설정을 최우선 순위로 배치
🔧 검증 코드
현재 사용 중인 Keycloak의 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인하십시오.
curl -s https://<keycloak-server>/auth/admin/realms/<realm-name> | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access