🇰🇷 한글 설명
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak의 권한 서비스 구성 요소에서 결함이 발견되었습니다. 정책 평가 엔드포인트의 권한 확인 누락으로 인해, 제한된 조회 권한을 가진 위임된 관리자가 권한 없이도 모든 사용자의 전체 프로필과 역할 정보를 열람할 수 있습니다. 이로 인해 이메일 주소 및 할당된 보안 역할과 같은 민감한 정보가 노출될 수 있습니다.
💡 쉬운 설명
관리자 권한이 부족한 사람이 시스템의 보안 규칙을 테스트하는 기능을 악용하여 다른 사용자의 개인정보를 몰래 볼 수 있는 문제입니다. 이메일이나 권한 정보 같은 중요한 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Authorization Services component of Keycloak, an open-source identity and access management solution. The issue occurs in the policy evaluation endpoint, which is used by administrators to test how access policies apply to specific users. Due to missing authorization checks, a delegated administrator with limited viewing privileges can access the full profile and role information of any user in the realm, even if they are not permitted to view user details. This could lead to the exposure of sensitive information such as email addresses and assigned security roles.
📍 영향받는 시스템
Keycloak Authorization Services component (버전 미지정)
⚔️ 공격 벡터
권한이 제한된 위임 관리자가 정책 평가 엔드포인트를 호출하여 타 사용자의 정보를 조회
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 정책 평가 엔드포인트에 대한 접근 제어 강화
🔧 검증 코드
권한이 없는 계정으로 요청 시 403 Forbidden 또는 401 Unauthorized 응답이 오는지 확인
curl -s -I http://<keycloak-host>/auth/realms/<realm-name>/policy/eval | grep 'HTTP/1.1'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access