🇰🇷 한글 설명
Keycloak의 TokenManager 구성 요소에서 특정 애플리케이션의 토큰을 'not-before' 정책으로 취소하려 할 때, 보안 영역(realm)에 기존의 취소 정책이 설정되어 있으면 취소 요청이 무시되는 결함이 발견되었습니다. 이로 인해 관리자가 토큰을 무효화하려 시도하더라도 이전에 발급된 토큰이 여전히 세션 갱신 및 사용자 정보 접근에 사용될 수 있습니다.
💡 쉬운 설명
관리자가 특정 앱의 접속 권한을 강제로 끊으려고 해도, 기존 설정 때문에 명령이 제대로 작동하지 않는 문제입니다. 이로 인해 이미 발급된 접속 키가 취소되지 않고 계속 사용될 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the TokenManager component of the Keycloak identity management service. When an administrator attempts to revoke tokens for a specific application (client) using a "not-before" policy, the revocation may be silently ignored if the overall security realm already has an older, non-zero revocation policy in place. This issue can allow previously issued tokens to remain valid for refreshing sessions and accessing user information even after an administrator has attempted to invalidate them.
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
📍 영향받는 시스템
Keycloak (TokenManager 구성 요소를 사용하는 버전)
⚔️ 공격 벡터
이미 탈취된 토큰을 사용하여 관리자의 토큰 취소 시도에도 불구하고 세션을 유지하거나 사용자 정보에 접근
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 realm 전체의 revocation 정책과 client별 정책 간의 충돌 여부 확인
🔧 검증 코드
현재 사용 중인 Keycloak의 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 대조합니다.
curl -s http://<keycloak-host>/auth/realms/<realm-name> | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access