🇰🇷 한글 설명
keycloak-services 구성요소의 HOTP 인증 메커니즘에서 결함이 발견되었습니다. 시스템이 일회용 비밀번호를 검증하는 단계와 내부 카운터를 갱신하는 단계가 적절한 잠금 없이 분리되어 있습니다. 사용자의 비밀번호를 가진 공격자는 이 시간 간격을 악용해 하나의 일회용 코드로 여러 번 동시에 로그인할 수 있습니다.
💡 쉬운 설명
한 번만 써야 하는 인증번호를 여러 사람이나 여러 번 동시에 쓸 수 있는 취약점입니다. 비밀번호를 알고 있는 공격자가 이를 이용해 인증 절차를 우회할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the HOTP authentication mechanism of the keycloak-services component, which provides identity and access management services. The issue occurs because the system validates a one-time password and updates its internal counter in two separate steps without proper locking. An attacker with a users password could exploit this timing gap to use a single one-time code to log in multiple times simultaneously.
📍 영향받는 시스템
Keycloak 서버의 keycloak-services 구성요소를 사용하며 HOTP 기반 2단계 인증을 활성화한 환경 (정확한 영향 버전은 공식 권고문 확인 필요)
⚔️ 공격 벡터
사용자의 비밀번호를 확보한 공격자가 동일한 HOTP 코드를 짧은 시간에 병렬 요청으로 제출하여 중복 로그인을 시도
🛡️ 대응 방법
Keycloak을 패치된 최신 버전으로 업그레이드하고, 권고된 보안 업데이트를 적용
🔧 검증 코드
출력된 Keycloak 버전을 공식 권고문의 패치 버전과 비교하여 같거나 높으면 조치 완료, 낮으면 업그레이드 필요
docker exec keycloak /opt/keycloak/bin/kc.sh --version 2>/dev/null || ls /opt/keycloak 2>/dev/null | grep -i version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access