🇰🇷 한글 설명
OAuth2 토큰 응답에 scope 클레임이 없을 경우, 시스템이 이를 audience 클레임으로 대신 사용하여 권한을 검증하는 취약점입니다. 이로 인해 다른 용도의 토큰이 잘못된 권한을 부여받아 인증을 통과할 수 있으며, ID 제공자의 설정 오류를 은폐할 위험이 있습니다.
💡 쉬운 설명
토큰의 '용도'와 '권한'을 구분하지 못해 발생하는 보안 허점입니다. 원래는 권한이 없는 토큰이라도 이름이 비슷하면 시스템이 권한이 있는 것으로 착각하여 문을 열어줄 수 있습니다.
🇺🇸 원문 (English)
An attacker that holds a token intended for a different purpose can authenticate, because when an OAuth2 token response does not contain a scope claim, the audience claim is used in its place and checked against the configured required scopes. These are different concepts, and the audience claim does not describe what a token is allowed to do. A token that grants no relevant permissions can be accepted because its intended recipient value happens to match a configured scope name, granting access that should have been denied. It also hides an identity provider misconfiguration where scopes are not being issued at all. Ensure the identity provider issues a scope claim for all tokens used with Dovecot, and that configured scope names do not match audience values. Update to non-vulnerable version. No publicly available exploits are known.
📍 영향받는 시스템
Dovecot (취약한 버전)
⚔️ 공격 벡터
다른 용도로 발급된 OAuth2 토큰의 audience 값이 설정된 scope 이름과 일치할 경우 권한 탈취
🛡️ 대응 방법
Dovecot을 취약점이 해결된 최신 버전으로 업데이트하고, ID 제공자가 모든 토큰에 scope 클레임을 포함하도록 설정하십시오.
🔧 검증 코드
출력된 Dovecot 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사 공지사항과 대조하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access