🇰🇷 한글 설명
AAP 2.6에서 도입된 사용자 자동 연결 전략에서 이메일 소유권 검증 없이 이메일 일치 여부만으로 외부 IDP 계정을 기존 AAP 사용자 계정과 연결하는 결함이 발견되었습니다. 공격자는 IDP에서 제공하는 이메일 정보를 조작하여 피해자의 계정이나 관리자 계정을 탈취하고 권한 없는 접근을 수행할 수 있습니다.
💡 쉬운 설명
로그인할 때 이메일 주소만 같으면 자동으로 계정을 연결해주는 기능의 허점을 이용한 공격입니다. 공격자가 자신의 이메일 주소를 피해자의 이메일로 속여서 로그인하면 피해자의 계정을 마음대로 사용할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the AAP gateway. The user auto-link strategy, introduced in AAP 2.6, automatically links an external Identity Provider (IDP) identity to an existing AAP user account based on email matching without verifying email ownership. This allows a remote attacker to potentially hijack a victim's account or gain unauthorized access to other accounts, including administrative accounts, by manipulating the IDP-provided email.
📍 영향받는 시스템
Ansible Automation Platform (AAP) 2.6 이상 버전
⚔️ 공격 벡터
IDP(Identity Provider)에서 제공하는 이메일 정보를 조작하여 기존 사용자 계정과 강제로 연결 시도
🛡️ 대응 방법
이메일 소유권 검증 로직이 포함된 보안 패치를 적용하거나, 자동 연결(auto-link) 전략을 비활성화합니다.
🔧 검증 코드
출력된 패키지 버전이 AAP 2.6 이상인지 확인하여 취약한 버전 여부를 판단합니다.
rpm -qa | grep -E 'ansible-automation-platform'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Security Verify Access