🇰🇷 한글 설명
Symfony PHP 프레임워크의 OidcTokenHandler::verifyClaims() 함수에서 필수 클레임 목록을 검증 프로세스에 제대로 전달하지 않는 취약점이 발견되었습니다. 이로 인해 audience(aud), issuer(iss), expiry(exp) 클레임이 누락된 유효한 서명의 JWT가 검증을 통과할 수 있습니다. 해당 문제는 6.4.40, 7.4.12, 8.0.12 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 인증에 사용되는 디지털 증명서(JWT)에서 반드시 포함되어야 할 필수 정보들이 빠져 있어도 시스템이 이를 정상적인 것으로 착각하고 통과시켜 버리는 문제입니다. 공격자가 필수 정보를 교묘하게 누락시킨 가짜 증명서를 사용해 보안 검사를 우회할 위험이 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, OidcTokenHandler::verifyClaims() registered audience (aud), issuer (iss), and expiry (exp) checkers but did not pass the mandatory claims list to ClaimCheckerManager::check(), so a validly signed JWT that omitted those claims could pass verification. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony Framework versions prior to 6.4.40, 7.4.12, and 8.0.12
⚔️ 공격 벡터
필수 클레임(aud, iss, exp)이 누락된 유효한 서명의 JWT를 전송하여 인증 검증 로직을 우회
🛡️ 대응 방법
Symfony 프레임워크를 최신 보안 패치 버전(6.4.40, 7.4.12, 8.0.12 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(6.4.40, 7.4.12, 8.0.12 이상)인지 확인
composer show symfony/framework-bundle | grep 'versions'