🇰🇷 한글 설명
ZITADEL 4.16.0 미만 버전에서 여러 프로젝트 역할을 동시에 삭제할 때 권한 업데이트 오류가 발생하여 일부 사용자 권한이 누락될 수 있습니다. 이 문제는 공유된 프로젝트의 사용자 권한(User Grants)에 영향을 미치며, 삭제되어야 할 접근 권한이 그대로 유지될 위험이 있습니다.
💡 쉬운 설명
여러 권한을 한꺼번에 지울 때 시스템 오류로 인해 지워지지 말아야 할 권한이 남게 되는 문제입니다. 이로 인해 권한이 없어야 할 사용자가 여전히 시스템에 접근할 수 있는 보안 허점이 생길 수 있습니다.
🇺🇸 원문 (English)
ZITADEL is an open source identity management platform. Prior to version 4.16.0, a bug in how ZITADEL updates permissions when multiple project roles are deleted at the same time can cause some user permissions to be missed. This issue specifically affects User Grants on Granted Projects (projects shared between different organizations), potentially allowing users to keep access rights that were supposed to be completely removed. This issue has been fully resolved in version 4.16.0. There are no configuration workarounds. Upgrading to a patched version is the only way to trigger the automatic cleanup migration. Those who cannot upgrade immediately should manually review user permissions specifically for Granted Projects where multiple roles were recently deleted.
📍 영향받는 시스템
ZITADEL version 4.16.0 미만
⚔️ 공격 벡터
권한 삭제 프로세스 중 발생하는 로직 오류를 이용한 권한 유지 (권한 오남용)
🛡️ 대응 방법
ZITADEL을 4.16.0 이상 버전으로 업그레이드하거나, 최근 권한 삭제가 이루어진 공유 프로젝트의 사용자 권한을 수동으로 검토하십시오.
🔧 검증 코드
ZITADEL 서비스의 현재 버전을 확인하여 4.16.0 미만인지 확인하십시오.
curl -s http://<ZITADEL_ENDPOINT>/healthz || echo 'Check ZITADEL version via CLI or API'