🇰🇷 한글 설명
Keycloak의 핵심 구성 요소인 keycloak-services 라이브러리의 role-users 엔드포인트에서 결함이 발견되었습니다. 특정 역할을 가진 사용자 목록을 조회할 때 관리자의 개별 사용자 조회 권한을 확인하지 않아, 권한이 제한된 관리자가 접근할 수 없는 사용자의 이름과 이메일 등 개인정보를 볼 수 있는 취약점입니다.
💡 쉬운 설명
권한이 낮은 관리자가 원래는 볼 수 없는 다른 사용자의 이름이나 이메일 같은 개인정보를 몰래 훔쳐볼 수 있는 문제입니다. 역할 기반의 접근 제어가 제대로 작동하지 않아 발생하는 정보 노출 취약점입니다.
🇺🇸 원문 (English)
A flaw was found in the role-users endpoint of the keycloak-services library, which is the core component of the Keycloak identity and access management solution. The issue occurs because the system fails to check if an administrator has permission to view individual users when listing members of a role. This allows a restricted administrator to see private information, such as names and email addresses, for users they should not be able to access.
📍 영향받는 시스템
keycloak-services library (Keycloak IAM 솔루션)
⚔️ 공격 벡터
권한이 제한된 관리자 계정을 사용하여 role-users API 엔드포인트에 접근하여 사용자 목록 조회
🛡️ 대응 방법
Keycloak 및 keycloak-services 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
설치된 Keycloak 관련 패키지의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조합니다.
rpm -qa | grep keycloak || dpkg -l | grep keycloak
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access