🇰🇷 한글 설명
Keycloak의 mTLS holder-of-key 바인딩 기능에서 보안 결함이 발견되었습니다. 새로운 Standard Token Exchange V2 기능이 클라이언트 인증서를 제대로 검증하지 않아, 탈취된 클라이언트 자격 증명을 가진 공격자가 보안 보호를 우회하여 제한 없는 표준 토큰을 획득할 수 있습니다.
💡 쉬운 설명
원래는 특정 디지털 인증서가 있어야만 사용할 수 있는 보안 토큰을, 새로운 기능의 허점 때문에 인증서 없이도 가져갈 수 있는 문제입니다. 공격자가 아이디와 비밀번호를 훔쳤다면 보안 장치를 무력화하고 자유롭게 토큰을 만들 수 있습니다.
🇺🇸 원문 (English)
Keycloak provides a feature called mTLS holder-of-key binding which ensures that a token can only be used by the client that originally requested it by binding it to their digital certificate. A flaw was discovered where the new Standard Token Exchange V2 feature does not check for this certificate. This allows an attacker with stolen client credentials to obtain a standard, unrestricted token that bypasses these security protections.
📍 영향받는 시스템
Keycloak (Standard Token Exchange V2 기능이 활성화된 버전)
⚔️ 공격 벡터
탈취된 클라이언트 자격 증명을 사용하여 Standard Token Exchange V2를 통해 인증서 검증을 우회하고 토큰을 요청함
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하거나, mTLS 바인딩 검증이 포함된 설정을 적용함
🔧 검증 코드
Keycloak 서비스의 상태를 확인하고, 현재 사용 중인 Keycloak의 정확한 버전을 관리 콘솔이나 API를 통해 확인하여 취약 버전 여부를 판단합니다.
curl -s http://<keycloak-host>/health | grep -i 'ready'