🇰🇷 한글 설명
Keycloak의 Docker v2 인증 엔드포인트에서 관리자가 클라이언트를 비활성화(Enabled=OFF)한 후에도 토큰이 계속 발급되는 결함. 이전에 유효했던 자격증명으로도 여전히 인증 토큰을 획득할 수 있어 관리자 통제를 우회함. 이로 인해 컨테이너 레지스트리 자원에 대한 의도치 않은 접근이 허용될 수 있음.
💡 쉬운 설명
Keycloak 보안 시스템에서 Docker 사용자 계정을 꺼도 옛날 비밀번호로 계속 접근할 수 있는 버그입니다. 관리자가 누군가의 접근을 막으려고 해도 효과가 없어서 보안이 약해집니다.
🇺🇸 원문 (English)
A flaw was identified in the Docker v2 authentication endpoint of Keycloak, where tokens continue to be issued even after a Docker registry client has been administratively disabled. This means that turning the client “Enabled” setting to OFF does not fully prevent access. As a result, previously valid credentials can still be used to obtain authentication tokens. This weakens administrative controls and could allow unintended access to container registry resources.
📍 영향받는 시스템
Keycloak (Docker v2 인증 엔드포인트를 사용하는 모든 배포)
⚔️ 공격 벡터
비활성화된 클라이언트의 이전 자격증명으로 Docker v2 인증 엔드포인트에 토큰 발급 요청
🛡️ 대응 방법
Keycloak 보안 패치 업그레이드 적용 및 Docker v2 클라이언트 토큰 검증 로직 강화
🔧 검증 코드
응답 헤더에서 Keycloak 서버 정보와 버전이 표시되면, 현재 설치된 버전이 취약점을 포함하는지 공식 보안 권고를 통해 확인 후 패치 필요 여부 결정.
curl -s -I http://localhost:8080/auth/realms/master 2>/dev/null | grep -i server