🇰🇷 한글 설명
Keycloak의 Admin REST API에서 특정 역할과 연결된 그룹을 조회할 때 개별 그룹의 가시성 권한을 적절히 검사하지 않는 결함이 발견되었습니다. 이로 인해 기본적인 검색 권한을 가진 위임된 관리자가 보안 제한을 우회하여 역할에 할당된 모든 그룹의 상세 정보를 볼 수 있습니다.
💡 쉬운 설명
관리자 권한이 낮은 사용자가 원래는 볼 수 없는 다른 그룹들의 정보를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 이는 권한 설정이 제대로 작동하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
A flaw was found in the Admin REST API of Keycloak, an identity and access management solution. The endpoints used to retrieve groups associated with a specific role do not properly check for individual group visibility permissions. This allows a delegated administrator with basic search privileges to view detailed information about all groups assigned to a role, bypassing intended security restrictions that should limit their view to specific groups.
📍 영향받는 시스템
Keycloak Admin REST API를 사용하는 버전 (정확한 버전 명시 필요)
⚔️ 공격 벡터
권한이 제한된 위임된 관리자 계정을 이용한 Admin REST API 엔드포인트 호출
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 그룹 가시성 권한 설정 재검토
🔧 검증 코드
명령어 실행 시 권한이 없는 그룹 정보가 상세히 출력된다면 취약한 상태입니다.
curl -u admin:password -X GET 'https://<keycloak-server>/auth/admin/realms/<realm>/roles/<role-name>/groups' | grep -i 'group'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access