🇰🇷 한글 설명
Keycloak의 IdentityBrokerService.performLogin 엔드포인트에서 발생하는 보안 결함으로, 관리자가 특정 ID 제공자(IdP)를 비활성화하더라도 인증이 계속 진행될 수 있습니다. 공격자가 IdP 별칭을 알고 있다면 이전에 생성된 로그인 요청을 재사용하여 관리적 제한을 우회하고 권한 없는 인증을 수행할 수 있습니다.
💡 쉬운 설명
관리자가 특정 로그인 수단을 차단했음에도 불구하고, 공격자가 예전에 사용했던 로그인 방식을 다시 사용하여 시스템에 몰래 들어올 수 있는 문제입니다. 이는 보안 설정이 제대로 작동하지 않아 허가되지 않은 사용자가 접속할 수 있게 만듭니다.
🇺🇸 원문 (English)
A security flaw in the IdentityBrokerService.performLogin endpoint of Keycloak allows authentication to proceed using an Identity Provider (IdP) even after it has been disabled by an administrator. An attacker who knows the IdP alias can reuse a previously generated login request to bypass the administrative restriction. This undermines access control enforcement and may allow unauthorized authentication through a disabled external provider.
📍 영향받는 시스템
Keycloak (IdentityBrokerService.performLogin 엔드포인트를 사용하는 버전)
⚔️ 공격 벡터
비활성화된 IdP의 별칭을 이용해 이전에 생성된 로그인 요청을 재사용하는 방식
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하고, IdP 비활성화 시 세션 및 요청이 즉시 무효화되는지 확인하십시오.
🔧 검증 코드
비활성화된 IdP 별칭으로 요청을 보냈을 때, 인증 프로세스가 진행되지 않고 적절한 오류(예: 404 또는 401)가 발생하는지 확인합니다.
curl -s -I https://<keycloak-host>/auth/realms/<realm-name>/broker/<disabled-idp-alias> | grep -E 'HTTP/1.1 200|404'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access