🇰🇷 한글 설명
ZITADEL의 Actions V1 기능에서 goja Node-compatible require() 레지스트리가 파일 시스템 소스 로더를 제한하지 않는 취약점이 발견되었습니다. 권한을 가진 조직 관리자가 JavaScript를 실행하여 서버 프로세스가 읽을 수 있는 파일을 로드할 수 있으며, 이를 통해 설정 파일 및 비밀번호를 탈취하여 인스턴스 관리자 권한으로 상승할 수 있습니다.
💡 쉬운 설명
ZITADEL의 특정 기능을 사용하는 사용자가 서버 내부의 중요한 비밀 파일들을 몰래 읽어낼 수 있는 보안 결함입니다. 이 파일을 통해 공격자가 시스템 전체의 관리자 권한을 뺏을 위험이 있습니다.
🇺🇸 원문 (English)
ZITADEL is an open source identity management platform. From 3.0.0 until 3.4.13 and 4.16.1, ZITADEL Actions V1 enables the goja Node-compatible require() registry without restricting its filesystem source loader. An organization Action author with ORG_OWNER, org.action.write, and org.flow.write permissions can run JavaScript at OIDC, SAML, and login-flow trigger points and load files readable by the ZITADEL server process. This can disclose mounted configuration and secrets, including credentials stored through ZITADEL_FIRSTINSTANCE_LOGINCLIENTPATPATH or ZITADEL_FIRSTINSTANCE_MACHINEKEYPATH, and recovered bootstrap credentials can enable escalation from an organization administrator to an instance administrator. The issue affects Actions V1, and host command execution is not established. This issue is fixed in versions 3.4.13 and 4.16.1.
📍 영향받는 시스템
ZITADEL Actions V1 (버전 3.0.0 ~ 3.4.13 및 4.16.1 미만)
⚔️ 공격 벡터
조직 관리자 권한을 가진 사용자가 악성 JavaScript 코드를 작성하여 서버 내 설정 및 비밀번호 파일을 로드함
🛡️ 대응 방법
ZITADEL을 최신 보안 패치가 적용된 버전(3.4.13 또는 4.16.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 ZITADEL 버전을 확인하여 3.4.13 또는 4.16.1보다 낮은 버전인지 확인하십시오.
curl -s http://localhost:8080/healthz | grep -i 'version' || echo 'Check ZITADEL version via CLI or API'