🇰🇷 한글 설명
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak에서 발견된 결함입니다. 반복된 로그인 실패로 계정이 일시적으로 잠겼음에도 불구하고, 유효한 클라이언트 자격 증명을 가진 공격자가 CIBA(Client-Initiated Backchannel Authentication) 흐름을 악용하여 이 보호 조치를 우회할 수 있습니다. 이를 통해 계정이 잠긴 상태에서도 지속적인 인증 시도와 토큰 발급이 가능해져 추가적인 무단 액세스 위험이 발생합니다.
💡 쉬운 설명
로그인을 여러 번 틀리면 계정이 잠겨야 하는데, 특정 통로를 이용하면 이 잠금 장치를 무시하고 계속 로그인을 시도할 수 있는 문제입니다. 공격자가 이 허점을 이용하면 잠긴 계정에 대해 계속해서 비밀번호를 찍어 맞추는 공격을 이어갈 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Keycloak, an open-source identity and access management solution. When a user account is temporarily locked due to repeated failed login attempts, an attacker with valid client credentials can exploit the Client-Initiated Backchannel Authentication (CIBA) flow to bypass this brute-force protection. This allows continued authentication attempts and token issuance even when the account should be locked, potentially enabling further unauthorized access attempts.
📍 영향받는 시스템
Keycloak (CIBA 흐름을 사용하는 버전)
⚔️ 공격 벡터
유효한 클라이언트 자격 증명을 이용한 CIBA(Client-Initiated Backchannel Authentication) 흐름 악용
🛡️ 대응 방법
Keycloak을 최신 보안 패치가 적용된 버전으로 업데이트하거나, CIBA 흐름에 대한 접근 제어를 강화해야 합니다.
🔧 검증 코드
출력된 Keycloak 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.
keycloak --version 2>/dev/null || echo 'Keycloak not found in PATH'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access