🇰🇷 한글 설명
Red Hat Build of Keycloak의 핵심 엔진인 keycloak-services 구성 요소의 비밀번호 재설정 흐름에서 결함이 발견되었습니다. 인증되지 않은 공격자가 이메일 인증 링크를 클릭하지 않고도 모든 사용자의 비밀번호 재설정 프로세스를 강제할 수 있습니다. 이를 통해 공격자는 대상 사용자 계정의 새로운 자격 증명을 직접 설정하여 계정에 대한 완전한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
비밀번호를 잊어버렸을 때 사용하는 기능에 보안 구멍이 생겼습니다. 해커가 이메일 확인 절차를 건너뛰고 다른 사람의 비밀번호를 마음대로 바꿔서 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the reset-credentials flow of the keycloak-services component, which is the core engine for identity and access management in Red Hat Build of Keycloak. The issue allows an unauthenticated attacker to force the password reset process for any user without needing to click the required email verification link. This can result in the attacker gaining full control over target user accounts by directly setting new credentials.
📍 영향받는 시스템
Red Hat Build of Keycloak (keycloak-services 구성 요소 포함 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 비밀번호 재설정 프로세스를 악용하여 이메일 인증 없이 자격 증명을 변경
🛡️ 대응 방법
Keycloak 보안 패치가 적용된 최신 버전으로 즉시 업데이트
🔧 검증 코드
출력된 Keycloak 관련 패키지의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 대조
rpm -qa | grep -i keycloak
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access