🇰🇷 한글 설명
Keycloak의 권한 관리 취약점으로 인해 사칭(impersonation) 권한을 가진 사용자가 영역(realm) 관리자를 사칭할 수 있습니다. 이를 통해 공격자는 사용자, 클라이언트 및 역할을 관리할 수 있는 전체 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
일반적인 권한을 가진 사용자가 마치 최고 관리자인 것처럼 속여 시스템을 조작할 수 있는 문제입니다. 이로 인해 관리자 권한을 탈취당해 시스템의 모든 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Keycloak is an open-source identity and access management solution. A vulnerability was discovered where a user with the impersonation role can impersonate a realm administrator. This allows the attacker to gain full administrative control over the realm, including the ability to manage users, clients, and roles.
📍 영향받는 시스템
Keycloak (impersonation role가 활성화된 모든 버전)
⚔️ 공격 벡터
사칭 권한을 가진 계정을 이용해 관리자 계정으로 권한 상승 시도
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 사칭 권한(impersonation role)에 대한 엄격한 접근 제어 실시
🔧 검증 코드
Keycloak 서비스 상태를 확인하고 현재 적용된 보안 패치 버전 및 설정된 권한 정책을 점검하십시오.
curl -s http://localhost:8080/health | grep -i 'UP'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access