🇰🇷 한글 설명
OpenDJ 5.1.2 미만 버전에서 SASL PLAIN 인증 시 권한 확인 로직의 결함이 발견되었습니다. PROXIED_AUTH 권한을 가진 계정이 proxy ACI 범위를 무시하고 허용되지 않은 다른 사용자의 신원을 도용할 수 있는 취약점입니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 원래 접근할 수 없는 다른 사람의 계정으로 위장하여 시스템에 접속할 수 있는 보안 허점입니다. 이로 인해 권한이 없는 데이터에 접근하거나 관리자 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
OpenDJ is an LDAPv3 compliant directory service. Prior to 5.1.2, the SASL PLAIN authorization identity path in opendj-server-legacy/src/main/java/org/opends/server/extensions/PlainSASLMechanismHandler.java checked the PROXIED_AUTH privilege but did not evaluate the mayProxy proxy ACI scope when an authzid resolved to a different user. Both dn: and u: or bare authzid forms could therefore let an authenticated account holding PROXIED_AUTH assume any resolvable non-root identity outside the identities permitted by its proxy ACI. The fix returns INVALID_CREDENTIALS (49) before password verification when the target authorization identity is not permitted. This issue is fixed in version 5.1.2.
📍 영향받는 시스템
OpenDJ 5.1.2 미만 모든 버전
⚔️ 공격 벡터
인증된 계정이 SASL PLAIN 메커니즘을 통해 허용되지 않은 authzid(권한 식별자)를 사용하여 타인으로 위장
🛡️ 대응 방법
OpenDJ를 최신 보안 패치가 적용된 5.1.2 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 5.1.2 미만인 경우 해당 취약점에 노출된 상태입니다.
opendj-server --version 2>/dev/null || echo 'Check OpenDJ version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service