🇰🇷 한글 설명
UAA의 private_key_jwt 클라이언트 인증 메커니즘에서 서비스 거부(DoS) 취약점이 존재합니다. 원격 JWKS URI 응답을 캐시하는 과정에서 잘못된 인증 시도가 캐시된 대용량 데이터의 전체 역직렬화를 유발할 수 있습니다. 이로 인해 과도한 CPU 사용과 Java 힙 메모리 고갈(OutOfMemoryError)이 발생하여 서비스가 중단될 수 있습니다.
💡 쉬운 설명
인증을 시도하는 요청이 서버에 큰 부담을 주도록 조작될 수 있습니다. 그 결과 서버가 느려지거나 멈춰 서비스를 이용할 수 없게 될 수 있습니다.
🇺🇸 원문 (English)
A denial-of-service vulnerability exists in UAA's private_key_jwt client-authentication mechanism. When UAA retrieves a remote JWKS URI, it caches the response. Invalid authentication attempts can trigger full deserialization of this cached data. An attacker with prerequisites (write access to clients or a compromised endpoint) can send anonymous requests that force repeated parsing of large cached objects, causing excessive CPU usage and potential Java heap exhaustion via OutOfMemoryError, resulting in service unavailability.
📍 영향받는 시스템
Cloud Foundry UAA(User Account and Authentication) 특정 버전의 private_key_jwt 인증을 사용하는 환경
⚔️ 공격 벡터
클라이언트 쓰기 권한이 있거나 침해된 엔드포인트를 가진 공격자가 익명 요청을 반복 전송하여 캐시된 대용량 객체의 파싱을 강제
🛡️ 대응 방법
UAA를 취약점이 수정된 최신 패치 버전으로 업데이트하고, 클라이언트 등록 권한과 JWKS 엔드포인트 접근을 제한
🔧 검증 코드
Java 환경과 UAA 설치 경로를 확인한 뒤, 설치된 UAA 버전을 벤더 보안 권고문의 취약 버전 목록과 대조하여 패치 적용 여부를 판단합니다.
java -version 2>&1 | head -1 && ls /opt/*uaa* /var/vcap/packages/uaa 2>/dev/null | head -5