🇰🇷 한글 설명
azureauthextension 0.124.0~0.150.0 버전에서 Bearer 토큰을 JWT로 검증하지 않고 문자열 비교만 수행하는 서버 측 인증 우회 취약점입니다. 공격자는 유효한 Azure 액세스 토큰 하나와 조작된 Host 헤더를 이용해 OpenTelemetry 수신기에 무단 접근 가능하며, 토큰은 발급 후 수 시간 동안 재사용 가능합니다.
💡 쉬운 설명
Azure 인증 시스템이 토큰을 제대로 검증하지 않아서, 공격자가 유효한 토큰 하나만으로 여러 시스템에 접근할 수 있습니다. Host 헤더를 조작하면 본인이 접근할 권한이 없는 리소스도 접근 가능해집니다.
🇺🇸 원문 (English)
azureauthextension is the Azure Authenticator Extension. From 0.124.0 to 0.150.0, a server-side authentication bypass in azureauthextension allows any party who holds a single valid Azure access token for any scope the collector's configured identity can mint for to authenticate to any OpenTelemetry receiver that uses auth: azure_auth. The extension's Authenticate method does not validate incoming bearer tokens as JWTs. Instead, it calls its own configured credential to obtain an access token and compares the client's token to the result with string equality — and the scope for that server-side token request is taken from the client-supplied Host header. As a result, a token minted for any Azure resource the service principal has ever been issued a token for (ARM, Graph, Key Vault, Storage, etc.) will authenticate to the collector if the attacker picks a matching Host. Tokens are replayable for the full issued lifetime (commonly several hours for managed identity tokens).
📍 영향받는 시스템
azureauthextension 0.124.0 ~ 0.150.0
⚔️ 공격 벡터
유효한 Azure 액세스 토큰을 보유한 공격자가 Host 헤더를 조작하여 토큰 스코프를 변조한 후 OpenTelemetry 수신기에 인증
🛡️ 대응 방법
azureauthextension을 0.150.0 이상의 버전으로 즉시 업그레이드
🔧 검증 코드
Version이 0.150.0 이상이면 안전, 0.124.0~0.150.0이면 취약함. 설치 경로가 없으면 해당 패키지가 설치되지 않은 상태
pip show azureauthextension 2>/dev/null | grep Version || find /opt -name '*azureauth*' -type f 2>/dev/null | head -5