🇰🇷 한글 설명
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak의 Admin REST API에서 결함이 발견되었습니다. 사용자 자격 증명을 삭제하는 엔드포인트가 세부적인 비밀번호 재설정 권한을 올바르게 확인하지 않아, 권한이 제한된 위임된 관리자가 사용자의 비밀번호를 삭제하여 로그인을 불가능하게 만들 수 있습니다.
💡 쉬운 설명
관리자 권한이 낮은 사람이 원래는 할 수 없는 사용자의 비밀번호 삭제를 수행할 수 있는 문제입니다. 이로 인해 특정 사용자가 자신의 계정으로 로그인을 할 수 없게 되는 서비스 장애가 발생할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Admin REST API of Keycloak, an open-source identity and access management solution. The endpoint used for deleting user credentials does not correctly check for fine-grained reset-password permissions. This allows a delegated administrator, who should be restricted from resetting passwords, to delete a user's password credentials, resulting in the user being unable to log in.
📍 영향받는 시스템
Keycloak Admin REST API를 사용하는 버전 (정확한 버전 명시 필요)
⚔️ 공격 벡터
권한이 제한된 위임된 관리자가 취약한 Admin REST API 엔드포인트를 호출하여 사용자 자격 증명 삭제
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 세부 권한(fine-grained permissions) 설정 검토
🔧 검증 코드
권한이 없는 계정으로 자격 증명 삭제 API 호출 시 403 Forbidden 에러가 아닌 삭제 성공 응답이 오면 취약한 상태임
curl -s -u admin:password -X DELETE https://<keycloak-server>/auth/admin/realms/<realm>/users/<user-id>/credentials/<credential-id> && echo 'Vulnerable/Unauthorized Access Possible'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access