🇰🇷 한글 설명
Red Hat Build of Keycloak의 핵심 엔진인 keycloak-services 구성 요소 내 SAML 메타데이터 가져오기 기능에서 결함이 발견되었습니다. 특정 키 사용 속성이 누락된 ID 제공자 메타데이터를 가져올 경우, 서명 인증서가 제공되더라도 SAML 응답에 대한 서명 검증이 비활성화됩니다. 이를 통해 인증되지 않은 공격자가 SAML 응답을 위조하여 외부 식별자를 아는 사용자의 계정에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
로그인 인증 과정에서 신분증의 위조 여부를 확인하는 절차가 실수로 꺼지는 보안 결함이 발견되었습니다. 공격자가 가짜 신분증을 만들어 마치 정당한 사용자인 것처럼 속여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the SAML metadata import functionality of the keycloak-services component, which is the core engine for identity brokering in Red Hat Build of Keycloak. When importing identity provider metadata that lacks specific usage attributes for keys, the system incorrectly disables signature validation for SAML responses even if a signing certificate is provided. This issue allows an unauthenticated attacker to forge a SAML response and gain unauthorized access to a user account by knowing their external identifier.
📍 영향받는 시스템
Red Hat Build of Keycloak (keycloak-services 구성 요소 포함 버전)
⚔️ 공격 벡터
속성이 누락된 SAML 메타데이터를 이용해 서명 검증을 우회한 후 위조된 SAML 응답을 전송
🛡️ 대응 방법
Red Hat에서 제공하는 최신 보안 패치를 적용하거나 SAML 메타데이터의 키 사용 속성을 올바르게 구성해야 함
🔧 검증 코드
설치된 Keycloak 관련 패키지 목록을 확인하여 현재 사용 중인 버전을 파악하고 보안 권고문과 대조함
rpm -qa | grep -i keycloak
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access