🇰🇷 한글 설명
Keycloak의 keycloak-services 컴포넌트에서 호스트 제한 검증 미흡으로 인한 취약점이 발견되었습니다. 관리자가 와일드카드 도메인을 사용하여 클라이언트 등록 및 업데이트를 제한할 때, 시스템이 유효하지 않은 서브도메인까지 허용하는 문제가 발생합니다. 공격자는 역방향 DNS를 제어하여 이러한 호스트 기반 제한을 우회하고 승인되지 않은 클라이언트 수정을 시도할 수 있습니다.
💡 쉬운 설명
특정 주소에서만 설정을 바꿀 수 있게 막아두었는데, 주소의 뒷부분만 맞으면 가짜 주소도 통과시켜주는 허점이 발견되었습니다. 이를 통해 공격자가 허가되지 않은 권한으로 시스템 설정을 변경할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the keycloak-services component of Keycloak, which provides identity and access management services. The issue occurs when a realm administrator uses a wildcard domain (like *.example.com) to restrict which hosts can register or update clients. Due to improper validation, the system accepts any hostname that ends with the specified domain suffix, even if it is not a legitimate subdomain. An attacker who can control the reverse DNS of their connection can bypass these host-based restrictions, potentially allowing unauthorized client modifications.
📍 영향받는 시스템
Keycloak (keycloak-services 컴포넌트 포함 버전)
⚔️ 공격 벡터
역방향 DNS(Reverse DNS)를 조작하여 와일드카드 도메인 규칙을 우회하는 방식
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고, 호스트 제한 시 와일드카드 대신 명확한 도메인을 사용하십시오.
🔧 검증 코드
출력된 Keycloak 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 보안 공지(Advisory)와 대조하십시오.
keycloak --version 2>/dev/null || echo 'Keycloak not found in PATH'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access