🇰🇷 한글 설명
Keycloak 서비스의 UMA 리소스 등록 엔드포인트에서 결함이 발견되었습니다. 원격 리소스 관리가 활성화된 환경에서, 특정 권한을 가진 인증된 사용자가 요청에 대상 리소스 ID를 지정하여 자신이 소유하지 않은 리소스를 수정할 수 있습니다. 이로 인해 리소스의 이름, URI, 스코프 등 설정이 무단으로 변경될 수 있습니다.
💡 쉬운 설명
인증된 사용자가 본인 소유가 아닌 다른 사람의 자원 설정을 임의로 바꿀 수 있는 취약점입니다. 원격 자원 관리 기능을 사용하는 경우에만 영향을 받습니다.
🇺🇸 원문 (English)
A flaw was found in the UMA resource registration endpoint of the keycloak-services component, which provides the core logic for Keycloak's authorization and identity services. The issue occurs when remote resource management is enabled, allowing an authenticated user with specific permissions to update resources they do not own by providing a target resource ID in a request. This can lead to unauthorized modification of resource configurations, such as names, URIs, and scopes.
📍 영향받는 시스템
Keycloak (keycloak-services 컴포넌트, 원격 리소스 관리 기능 활성화 환경, 세부 영향 버전은 공식 advisory 확인 필요)
⚔️ 공격 벡터
특정 권한을 가진 인증된 사용자가 UMA 리소스 등록 요청에 타인의 리소스 ID를 지정하여 설정을 변경
🛡️ 대응 방법
Keycloak을 제조사가 제공하는 최신 패치 버전으로 업그레이드하고, 불필요한 원격 리소스 관리 권한을 회수
🔧 검증 코드
출력된 Keycloak 버전을 공식 보안 advisory의 취약 버전 범위와 비교하여 패치 적용 여부를 판단하며, 명령이 결과를 반환하지 않으면 Keycloak 설치 경로와 실행 환경을 직접 확인해야 합니다.
docker exec $(docker ps -qf ancestor=quay.io/keycloak/keycloak) /opt/keycloak/bin/kc.sh --version 2>/dev/null || (ls /opt/keycloak* 2>/dev/null && cat /opt/keycloak/version.txt 2>/dev/null)
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service