🇰🇷 한글 설명
Tinyauth 5.0.3 미만 버전의 OIDC 토큰 엔드포인트에서 인증 코드를 교환할 때 클라이언트 일치 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 다른 클라이언트의 인증 코드를 자신의 자격 증명으로 교환하여 사용자의 토큰을 탈취할 수 있으며, 이는 RFC 6749 표준을 위반합니다.
💡 쉬운 설명
로그인 과정에서 전달되는 일종의 '교환권'이 원래 주인인지 확인하지 않는 문제입니다. 해커가 남의 교환권을 가로채서 자신의 것으로 바꿔치기하면 사용자의 권한을 몰래 뺏을 수 있습니다.
🇺🇸 원문 (English)
Tinyauth is an authentication and authorization server. Prior to 5.0.3, the OIDC token endpoint does not verify that the client exchanging an authorization code is the same client the code was issued to. A malicious OIDC client operator can exchange another client's authorization code using their own client credentials, obtaining tokens for users who never authorized their application. This violates RFC 6749 Section 4.1.3. This vulnerability is fixed in 5.0.3.
📍 영향받는 시스템
Tinyauth 5.0.3 미만 모든 버전
⚔️ 공격 벡터
악의적인 OIDC 클라이언트 운영자가 타인의 인증 코드를 자신의 클라이언트 자격 증명으로 교환 시도
🛡️ 대응 방법
Tinyauth를 5.0.3 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 버전 번호가 5.0.3보다 낮은지 확인
pip show tinyauth 2>/dev/null | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server