🇰🇷 한글 설명
Bitwarden Server v2026.4.1 이전 버전에서는 조직의 SCIM API 키를 조회하거나 회전(재발급)할 때 마스터 비밀번호 재인증을 요구하지 않습니다. 따라서 SCIM 관리 권한을 가진 인증된 사용자는 유효한 세션만으로 해당 키를 획득할 수 있습니다.
💡 쉬운 설명
Bitwarden 서버에서 조직의 자동 계정 관리용 열쇠(SCIM API 키)를 확인하거나 새로 만들 때, 본인 확인을 위해 마스터 비밀번호를 다시 묻지 않는 문제가 있습니다. 그래서 로그인 상태만 있으면 누구나 이 열쇠를 가져갈 수 있습니다.
🇺🇸 원문 (English)
Bitwarden Server prior to v2026.4.1 does not require master-password re-authentication when retrieving or rotating an organization's SCIM API key, allowing an authenticated user with SCIM management privileges to obtain the key using only a valid session.
📍 영향받는 시스템
Bitwarden Server v2026.4.1 미만 버전 (자체 호스팅 환경 포함)
⚔️ 공격 벡터
SCIM 관리 권한이 있는 인증된 사용자가 유효한 세션으로 SCIM API 키 조회/회전 엔드포인트를 호출해 키를 탈취
🛡️ 대응 방법
Bitwarden Server를 v2026.4.1 이상으로 업그레이드하고, 노출이 의심되면 SCIM API 키를 즉시 회전
🔧 검증 코드
출력된 이미지 태그의 버전이 2026.4.1 미만이면 취약한 것이며, 2026.4.1 이상이거나 컨테이너가 없으면 해당 환경에서는 영향이 없거나 다른 방식으로 설치된 것이므로 추가 확인이 필요합니다.
docker ps --format '{{.Image}}' 2>/dev/null | grep -i bitwarden || echo 'bitwarden 컨테이너 없음'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server