🇰🇷 한글 설명
오픈 소스 ID 관리 플랫폼인 ZITADEL의 패스키 등록 엔드포인트에서 코드 만료 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자는 이전에 획득한 코드를 재사용하여 피해자의 계정에 자신의 패스키를 등록하고 계정 권한을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 인증에 사용되는 일회용 코드가 제대로 만료되지 않아 발생하는 문제입니다. 해커가 이미 사용된 코드를 다시 사용하여 사용자의 계정에 몰래 접속할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
ZITADEL is an open source identity management platform. Prior to 3.4.8 and 4.12.2, a potential vulnerability exists in Zitadel's passkey registration endpoints. This endpoint allows registering a new passkey using a previously retrieved code. An improper expiration check of the code, could allow an attacker to potentially register their own passkey and gain access to the victim's account. This vulnerability is fixed in 3.4.8 and 4.12.2.
📍 영향받는 시스템
ZITADEL versions prior to 3.4.8 and 4.12.2
⚔️ 공격 벡터
이전에 획득한 인증 코드를 재사용하여 패스키 등록 엔드포인트에 요청을 보내는 방식
🛡️ 대응 방법
ZITADEL을 버전 3.4.8 또는 4.12.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.4.8 또는 4.12.2 이상인지 확인하십시오.
curl -s http://<zitadel-instance>/health | grep -E 'version' || echo 'Check version via ZITADEL CLI or logs'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access