🇰🇷 한글 설명
Himmelblau 3.0.0부터 3.1.0 미만 버전에서 himmelblau.conf에 테넌트 도메인이 설정되지 않은 경우 인증이 특정 테넌트에 국한되지 않는 취약점이 있습니다. 이 모드에서는 실행 시점에 임의의 Entra ID 도메인에 대한 인증 시도를 동적으로 수락할 수 있어 원격 인증 환경에서 보안 위험을 초래할 수 있습니다.
💡 쉬운 설명
프로그램 설정이 미비할 경우, 공격자가 자신의 도메인을 사용하여 시스템에 가짜 인증을 시도할 수 있는 보안 구멍이 있습니다. 이는 원래 초기 설정용으로 만들어진 기능이 보안을 위협하는 상황입니다.
🇺🇸 원문 (English)
Himmelblau is an interoperability suite for Microsoft Azure Entra ID and Intune. From 3.0.0 to before 3.1.0, if Himmelblau is deployed without a configured tenant domain in himmelblau.conf, authentication is not tenant-scoped. In this mode, Himmelblau can accept authentication attempts for arbitrary Entra ID domains by dynamically registering providers at runtime. This behavior is intended for initial/local bootstrap scenarios, but it can create risk in remote authentication environments. This vulnerability is fixed in 3.1.0.
📍 영향받는 시스템
Himmelblau versions 3.0.0 to before 3.1.0
⚔️ 공격 벡터
설정되지 않은 테넌트 도메인을 악용하여 임의의 Entra ID 도메인으로 인증 시도
🛡️ 대응 방법
Himmelblau를 3.1.0 버전 이상으로 업데이트하거나 himmelblau.conf에 테넌트 도메인을 명시적으로 설정
🔧 검증 코드
출력된 버전이 3.1.0 미만(예: 3.0.5)이면 취약한 상태입니다.
pip show himmelblau 2>/dev/null | grep -E 'Version'