🇰🇷 한글 설명
Keycloak의 OIDC Introspection 기능에서 리alm 레벨의 notBefore 정책이 클라이언트 레벨 설정에 의해 무시되는 결함이 발견되었습니다. 이로 인해 기한이 지난 토큰이 무효화되지 않고 유효하게 남아 비인가된 접근이나 세션 지속 가능성이 발생할 수 있습니다.
💡 쉬운 설명
Keycloak가 설정된 보안 규칙을 제대로 적용하지 않아, 만료된 사용자 인증 토큰이 계속 작동할 수 있는 문제가 있습니다. 해커가 이 구멍을 이용해 권한 없이 시스템에 접근하거나 계정을 장악할 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in Keycloak. When both realm-level and client-level `notBefore` revocation policies are configured, Keycloak's OpenID Connect (OIDC) Introspection feature fails to properly honor the realm-level policy. This allows tokens that should have been revoked to remain active, potentially leading to unauthorized access or continued session validity. This could impact the security of systems utilizing Keycloak for identity and access management.
📍 영향받는 시스템
Keycloak (realm-level 및 client-level notBefore 정책이 모두 구성된 환경)
⚔️ 공격 벡터
만료된 토큰을 사용하여 OIDC Introspection 엔드포인트를 통해 비인가된 접근 시도
🛡️ 대응 방법
Keycloak를 최신 보안 패치 버전으로 업그레이드하거나 notBefore 정책을 단일 레벨로 통일하여 구성
🔧 검증 코드
출력된 버전이 최신 안정 버전보다 이전인 경우 취약한 것으로 판단하며, 패치된 버전으로 업그레이드해야 합니다.