🇰🇷 한글 설명
Heimdall은 클라우드 네이티브 ID 인식 프록시 및 액세스 제어 서비스입니다. 0.17.14 버전 이전의 Heimdall은 요청 경로를 정규화하지 않은 상태로 규칙 매칭을 수행하지만, 하위 구성 요소는 RFC 3986에 따라 점 세그먼트(dot-segments)를 정규화할 수 있습니다. 이 불일치로 인해 Heimdall이 특정 경로를 허용하더라도 하위 시스템은 정규화된 다른 경로로 요청을 처리하는 보안 우회 문제가 발생할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 주소를 확인하는 방식과 실제 서버가 주소를 읽는 방식이 서로 달라서 발생하는 문제입니다. 공격자가 주소에 특수 문자를 섞어 보내면 보안 검사를 통과한 뒤 실제로는 금지된 관리자 페이지에 접속할 수 있습니다.
🇺🇸 원문 (English)
Heimdall is a cloud native Identity Aware Proxy and Access Control Decision service. Prior to version 0.17.14, Heimdall performs rule matching on the raw (non-normalized) request path, while downstream components may normalize dot-segments according to RFC 3986, Section 6.2.2.3. This discrepancy can result in heimdall authorizing a request for one path (e.g., /user/../admin, or URL-encoded variants such as /user/%2e%2e/admin or /user/%2e%2e%2fadmin. The latter would require the allow_encoded_slashes option to be set to on or no_decode.) while the downstream ultimately processes a different, normalized path (/admin). This issue has been patched in version 0.17.14.
📍 영향받는 시스템
Heimdall version < 0.17.14
⚔️ 공격 벡터
URL 인코딩된 점 세그먼트(/../)를 포함한 요청 경로를 사용하여 보안 규칙을 우회하는 방식
🛡️ 대응 방법
Heimdall을 0.17.14 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Heimdall의 버전이 0.17.14 미만인지 확인하십시오.
helm list -A | grep heimdall | awk '{print $2}' | xargs -I {} helm list --namespace all | grep heimdall
💻 영향받는 소프트웨어
IBM Verify Identity Access