🇰🇷 한글 설명
Keycloak 클라이언트 등록 컴포넌트에서 결함이 발견되었습니다. Vault 공급자를 사용해 민감 정보를 저장하는 경우, 인증된 클라이언트 소유자가 특수하게 조작된 참조를 이용해 시스템이 비밀값을 노출하도록 속일 수 있습니다. 클라이언트 시크릿을 Vault 항목을 가리키도록 변경한 뒤 클라이언트 설정을 조회하면 비밀값이 평문으로 표시될 수 있습니다.
💡 쉬운 설명
Keycloak을 쓰는 사용자 중 자신이 관리하는 클라이언트의 설정을 조작할 수 있는 사람이, 원래는 볼 수 없어야 할 중요한 비밀번호 같은 정보를 볼 수 있게 되는 문제입니다. 이로 인해 다른 시스템의 인증 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the client registration component of Keycloak, an open-source identity and access management solution. When a vault provider is used to store sensitive information, an authenticated client owner can use a specially crafted reference to trick the system into revealing secrets. By updating a client secret to point to a vault entry and then requesting the client configuration, the owner can see the secret value in plain text. This could lead to the exposure of sensitive credentials that the user should not be able to access.
📍 영향받는 시스템
Keycloak의 Vault 공급자를 사용하는 버전 (정확한 영향 버전 범위는 공식 권고문 확인 필요)
⚔️ 공격 벡터
인증된 클라이언트 소유자가 클라이언트 시크릿을 Vault 항목을 가리키는 참조로 변경한 뒤 클라이언트 설정을 요청하여 평문 시크릿을 확인
🛡️ 대응 방법
Keycloak을 공식 패치가 적용된 최신 버전으로 업그레이드하고, 노출이 의심되는 시크릿은 즉시 교체
🔧 검증 코드
출력된 Keycloak 버전을 공식 보안 권고문의 패치 버전과 비교하여 같거나 높으면 수정된 것이고, 낮으면 업그레이드가 필요합니다.
docker exec keycloak /opt/keycloak/bin/kc.sh --version 2>/dev/null || grep -i 'keycloak.version' /opt/keycloak/version.txt 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access