🇰🇷 한글 설명
Keycloak의 JWT 인증 부여 미리보기 기능이 활성화된 경우, 사용자 계정이 비활성화되어 있어도 이를 검증하지 못하는 결함이 발견되었습니다. 공격자는 외부 ID 제공자의 유효한 어설션 토큰을 사용하여 비활성화된 사용자의 JWT를 획득함으로써 권한 없이 민감한 리소스에 접근할 수 있습니다.
💡 쉬운 설명
계정이 정지된 사용자임에도 불구하고, 특정 설정이 켜져 있으면 시스템이 이를 확인하지 못하고 로그인을 허용하는 보안 허점이 있습니다. 이를 통해 공격자는 정지된 계정의 권한을 도용하여 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Keycloak. When the JSON Web Token (JWT) authorization grant preview feature is enabled and a user account is disabled, Keycloak fails to validate the user’s disabled status during JWT authorization grant processing. A remote attacker with low privileges can exploit this improper access control vulnerability by presenting a valid assertion token from an external identity provider to obtain a JWT for a disabled user. This allows unauthorized access to sensitive resources.
📍 영향받는 시스템
Keycloak (JWT authorization grant preview 기능이 활성화된 버전)
⚔️ 공격 벡터
외부 ID 제공자의 유효한 어설션 토큰을 이용한 부적절한 접근 제어 공격
🛡️ 대응 방법
Keycloak을 최신 보안 패치 버전으로 업데이트하거나 JWT authorization grant preview 기능을 비활성화하십시오.
🔧 검증 코드
Keycloak 서비스의 상태를 확인하고, 현재 설정된 기능 및 버전이 보안 패치가 적용된 최신 상태인지 관리자 콘솔에서 확인하십시오.
curl -s http://<keycloak-host>/health | grep -i 'status'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access