🇰🇷 한글 설명
Red Hat Build of Keycloak의 keycloak-services 구성 요소에서 OAuth 2.0 인증 코드가 원래 요청한 클라이언트에 적절히 결합되지 않는 결함이 발견되었습니다. 공격자가 인증 코드를 가로채면 이를 자신의 클라이언트에서 사용하도록 수정할 수 있으며, 이를 통해 피해자의 신원 정보에 접근할 수 있는 액세스 토큰을 획득할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 생성되는 일회용 인증 번호가 누구의 것인지 제대로 확인하지 못하는 문제입니다. 해커가 이 번호를 중간에 가로채서 자기 것처럼 사용하면 다른 사람의 계정으로 로그인할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the keycloak-services component of Red Hat Build of Keycloak. The issue occurs because OAuth 2.0 authorization codes are not properly bound to the client that originally requested them. An attacker who can intercept an authorization code can modify it to be redeemed by their own client, potentially allowing them to obtain access tokens for a victim's identity.
📍 영향받는 시스템
Red Hat Build of Keycloak (keycloak-services 구성 요소 포함 버전)
⚔️ 공격 벡터
네트워크 중간에서 OAuth 2.0 인증 코드를 가로채어 공격자의 클라이언트로 재사용하는 방식
🛡️ 대응 방법
Red Hat에서 제공하는 최신 보안 패치가 적용된 Keycloak 버전으로 업데이트
🔧 검증 코드
설치된 Keycloak 패키지 목록을 확인하여 현재 사용 중인 버전이 취약한 버전인지 확인합니다.
rpm -qa | grep -i keycloak