🇰🇷 한글 설명
LDAP Account Manager(LAM) 9.6 미만 버전에서 WebAuthn 2단계 인증 시 인증 응답 처리 후에도 챌린지가 동일한 PHP 세션에 남아있는 취약점이 발견되었습니다. 이로 인해 유효한 비밀번호를 통과한 사용자가 이미 사용된 WebAuthn 인증 상태를 재사용할 수 있는 위험이 있습니다. 이 문제는 9.6 버전에서 수정되었습니다.
💡 쉬운 설명
로그인할 때 사용하는 보안 키(WebAuthn)의 인증 정보가 한 번 사용된 후에도 사라지지 않고 남아있는 문제입니다. 공격자가 사용자의 비밀번호를 알고 있다면, 이미 사용된 인증 정보를 이용해 보안을 우회할 가능성이 있습니다.
🇺🇸 원문 (English)
LDAP Account Manager (LAM) is a webfrontend for managing entries (e.g. users, groups, DHCP settings) stored in an LDAP directory. Prior to 9.6, installations with WebAuthn two-factor authentication leave the challenge in the same PHP session after the authentication response is processed. A user who has already completed valid password authentication can therefore retain the same signed WebAuthn ceremony state instead of consuming it once. The practical risk is limited by the requirement for a valid password, the same PHP session, and a valid authenticator signature. This issue is fixed in version 9.6.
📍 영향받는 시스템
LDAP Account Manager (LAM) 9.6 미만 버전
⚔️ 공격 벡터
유효한 비밀번호를 보유한 공격자가 동일한 PHP 세션 내에서 재사용 가능한 WebAuthn 인증 상태를 이용함
🛡️ 대응 방법
LDAP Account Manager를 9.6 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 LAM의 버전을 확인하여 9.6 미만인지 확인하십시오.
php -r 'echo "LAM_VERSION_CHECK";' | grep -q "LAM_VERSION_CHECK" && echo "Check your LAM version manually via web interface or package manager."