🇰🇷 한글 설명
OpenStack Keystone 29.0.2 미만 버전에서 연합 토큰의 리스코핑(rescoping) 메커니즘이 기존 토큰의 만료 시간을 새 토큰에 전달하지 않는 문제가 발견되었습니다. 이로 인해 연합 사용자가 토큰 만료 전 반복적으로 리스코핑을 수행하면 관리자가 설정한 토큰 수명 정책을 우회하여 무기한 접근 권한을 유지할 수 있습니다.
💡 쉬운 설명
로그인 토큰의 유효 기간이 끝나기 전에 계속해서 새 토큰으로 교체함으로써, 원래 정해진 시간이 지나도 로그아웃되지 않고 계속 접속을 유지할 수 있는 보안 결함입니다. 이 문제는 SAML2나 OpenID Connect 같은 외부 인증 방식을 사용하는 경우에만 해당됩니다.
🇺🇸 원문 (English)
An issue was discovered in OpenStack Keystone before 29.0.2. The Keystone federated token rescoping mechanism does not propagate the original token's expiry to the newly issued token. When a federated user rescopes a token via POST /v3/auth/tokens, the handle_scoped_token() function in the mapped authentication plugin returns response data without an expires_at value. The token provider falls back to issuing a token with a fresh default TTL. By rescoping repeatedly before each token expires, a user can maintain access indefinitely, bypassing operator-configured token lifetime policies. This is a variant of CVE-2012-3426. Only deployments using federated identity (SAML2, OpenID Connect) are affected.
📍 영향받는 시스템
OpenStack Keystone 29.0.2 미만 버전 (연합 인증 사용 시)
⚔️ 공격 벡터
연합 인증을 사용하는 사용자가 POST /v3/auth/tokens 요청을 통해 토큰 리스코핑을 반복적으로 수행하여 만료 시간을 초기화함
🛡️ 대응 방법
OpenStack Keystone를 29.0.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Keystone 버전이 29.0.2 미만인지 확인하십시오.
openstack --version | grep -E 'keystone'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access