🇰🇷 한글 설명
Keycloak에서 Microsoft 계정을 사용하여 특정 조직(테넌트)으로의 접근을 제한하는 기능에 결함이 발견되었습니다. 토큰 교환(token exchange) 기능을 사용할 때 이 제한이 무시되어, 공격자가 다른 조직의 유효한 Microsoft 토큰을 사용하여 Keycloak 렐름에 접근하고 민감한 데이터에 접근하거나 권한 없는 작업을 수행할 수 있습니다.
💡 쉬운 설명
다른 회사의 마이크로소프트 계정으로 로그인하더라도 우리 회사의 시스템에 몰래 들어올 수 있는 보안 구멍이 발견되었습니다. 이로 인해 외부인이 허가 없이 내부 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Keycloak provides a way to let users log in using Microsoft accounts while restricting access to a specific organization (tenant). A flaw was discovered where this restriction is ignored when using the token exchange feature. This means an attacker with a valid Microsoft token from a completely different organization could gain access to the Keycloak realm, potentially accessing sensitive data or performing unauthorized actions.
📍 영향받는 시스템
Keycloak (Microsoft 계정 연동 및 Token Exchange 기능을 사용하는 버전)
⚔️ 공격 벡터
다른 조직에서 발급받은 유효한 Microsoft 토큰을 사용하여 Keycloak의 토큰 교환 기능을 통해 인증 우회
🛡️ 대응 방법
Keycloak 보안 패치를 적용하고, 토큰 교환 설정 시 조직 간 격리 정책이 올바르게 적용되는지 확인하십시오.
🔧 검증 코드
현재 Keycloak 서비스의 상태를 확인하고, 최신 보안 패치가 적용된 버전인지 공식 릴리스 노트를 통해 대조하십시오.
curl -s http://<keycloak-server>/health | grep -i 'status'