🇰🇷 한글 설명
Keycloak의 관리자 REST API에서 권한 부여된 관리자가 복합 역할(composite role)에서 하위 역할을 제거할 때 권한 검증이 누락되는 결함이 발견되었습니다. 이로 인해 제한된 권한을 가진 공격자가 권한이 없는 특권 역할을 삭제할 수 있으며, 이는 다른 사용자 및 관리자의 접근 권한 상실로 이어질 수 있습니다.
💡 쉬운 설명
관리자 권한이 낮은 사람이 원래는 건드릴 수 없는 중요한 권한을 마음대로 삭제할 수 있는 문제입니다. 이로 인해 다른 관리자가 시스템에 접속하지 못하게 되는 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the admin REST API of Keycloak, a solution for identity and access management. The issue occurs when a delegated administrator attempts to remove a child role from a composite role. Due to missing authorization checks, an attacker with limited administrative permissions can remove privileged roles they are not authorized to manage, leading to a loss of access for other users and administrators.
📍 영향받는 시스템
Keycloak (Admin REST API를 사용하는 버전)
⚔️ 공격 벡터
제한된 관리자 권한을 가진 사용자가 REST API를 통해 권한이 없는 복합 역할의 하위 역할을 삭제 시도
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고 API 호출 시 권한 검증 로직을 확인하십시오.
🔧 검증 코드
권한이 없는 역할 수정 시도 시 403 Forbidden 또는 적절한 권한 오류가 발생하는지 확인하십시오.
curl -s -u admin:password https://<keycloak-server>/auth/admin/realms/<realm>/roles/compose | grep -q 'error'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access