🇰🇷 한글 설명
Keycloak의 keycloak-services 구성 요소에서 CVE-2026-9798에 대한 불완전한 수정이 발견되었습니다. CIBA 인증 시작 핸들러에는 무차별 대입 공격 방지 기능이 추가되었으나, 토큰 교환 핸들러에는 누락되어 보안 취약점이 발생합니다. 이로 인해 공격자는 유효한 클라이언트 자격 증명을 사용하여 무차별 대입 공격으로 잠긴 사용자 계정의 액세스 및 리프레시 토큰을 획득할 수 있습니다.
💡 쉬운 설명
비밀번호를 여러 번 틀려 계정이 잠겼음에도 불구하고, 특정 절차를 거치면 공격자가 해당 계정의 접속 권한을 얻을 수 있는 문제입니다. 이미 시작된 인증 요청이 계정 잠금 상태를 우회하여 토큰을 발급받을 수 있는 허점이 존재합니다.
🇺🇸 원문 (English)
A flaw was found in the keycloak-services component of Keycloak. This issue is an incomplete fix for CVE-2026-9798, where brute-force protection checks were added to the Client-Initiated Backchannel Authentication (CIBA) initiation handler but were omitted from the token redemption handler. This allows an attacker with valid client credentials to obtain access and refresh tokens for a user account that has been locked due to brute-force protection, provided the authentication request was started before the lockout occurred and was approved by the user.
📍 영향받는 시스템
Keycloak (keycloak-services 구성 요소 포함 버전)
⚔️ 공격 벡터
유효한 클라이언트 자격 증명을 사용하여 잠긴 사용자의 인증 요청을 토큰으로 교환하는 방식
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하여 토큰 교환 핸들러에 무차별 대입 공격 방지 로직을 적용해야 합니다.
🔧 검증 코드
설치된 Keycloak의 버전을 확인하여 취약점이 해결된 최신 패치 버전인지 대조합니다.
keycloak --version 2>/dev/null || rpm -qa | grep keycloak || dpkg -l | grep keycloak