🇰🇷 한글 설명
Keycloak의 세밀한 관리자 권한(FGAP v2) 기능에서 결함이 발견되었습니다. 위임된 관리자가 특정 역할을 사용자에게 할당할 때, 해당 역할에 포함된 복합 역할(Composite Roles) 내부의 권한을 제대로 검사하지 않아 권한 상승이 가능합니다. 이를 통해 제한된 권한을 가진 공격자가 전체 영역(Realm)에 대한 완전한 관리 권한을 획득할 수 있습니다.
💡 쉬운 설명
관리자에게 권한을 줄 때 그 권한 안에 숨겨진 '마스터 권한'이 있는지 확인하지 못하는 문제입니다. 이로 인해 낮은 등급의 관리자가 몰래 모든 것을 제어할 수 있는 강력한 권한을 가질 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Fine-Grained Admin Permissions (FGAP v2) feature of Keycloak, an identity and access management solution. The issue occurs when the system checks if a delegated administrator has permission to assign a specific role to a user. Because the check does not look inside composite roles to see what other permissions they contain, an administrator with limited rights can assign a role that secretly includes full administrative control. This allows the attacker to gain complete management access over the entire realm.
📍 영향받는 시스템
Keycloak (FGAP v2 기능이 활성화된 버전)
⚔️ 공격 벡터
제한된 권한을 가진 관리자가 권한 상승이 가능한 복합 역할(Composite Role)을 사용자에게 할당함
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 복합 역할 할당 시 권한 검증 로직 업데이트
🔧 검증 코드
출력된 Keycloak 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.
curl -s http://localhost:8080/health | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access