🇰🇷 한글 설명
Parse Server의 Keycloak 인증 어댑터에서 azp(authorized party) 클레임을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 동일한 Keycloak 렐름 내의 다른 클라이언트 앱에서 발급된 토큰을 사용하여 Parse Server의 사용자 계정을 탈취할 수 있습니다.
💡 쉬운 설명
A라는 앱을 위해 만든 출입증을 가지고 B라는 앱의 문을 열 수 있는 보안 결함입니다. 이를 통해 공격자는 다른 사용자의 계정으로 로그인하여 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.5 and 8.6.18, the Keycloak authentication adapter does not validate the azp (authorized party) claim of Keycloak access tokens against the configured client-id. A valid access token issued by the same Keycloak realm for a different client application can be used to authenticate as any user on the Parse Server that uses the Keycloak adapter. This enables cross-application account takeover in multi-client Keycloak realms. All Parse Server deployments that use the Keycloak authentication adapter with a Keycloak realm that has multiple client applications are affected. This vulnerability is fixed in 9.5.2-alpha.5 and 8.6.18.
📍 영향받는 시스템
Parse Server 9.5.2-alpha.5 및 8.6.18 미만 버전 (Keycloak 어댑터 사용 시)
⚔️ 공격 벡터
동일한 Keycloak 렐름 내의 다른 클라이언트용 유효한 액세스 토큰을 사용하여 인증 우회 및 계정 탈취
🛡️ 대응 방법
Parse Server를 9.5.2-alpha.5 또는 8.6.18 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전(9.5.2-alpha.5 또는 8.6.18 이상)이 나타나지 않으면 취약한 상태입니다.
npm list parse-server | grep -E '9.5.2-alpha.5|8.6.18'