WSO2 Identity Server 클라이언트 자격 증명 방식의 권한 범위 검사 누락
회사 로그인 관리 서버에서 권한 없는 프로그램이 관리 기능을 뺏을 수 있습니다.
요약
WSO2 Identity Server와 Identity Application Management Component에서 authorize_all_scopes 설정을 켜면, 클라이언트 자격 증명 방식으로 발급되는 권한 범위를 제대로 확인하지 않습니다. 권한 없는 클라이언트 앱이 내부 관리 권한까지 얻어 관리 작업을 하거나 기밀 데이터에 접근할 수 있습니다.
해당 조건
- deployment.toml에서 authorize_all_scopes가 true로 설정됨
대처법
7.1.0은 업데이트 레벨 32, 7.0.0은 업데이트 레벨 125 이상으로 업데이트하세요. 업데이트를 할 수 없으면 최신 버전으로 옮기세요. 업데이트 후에는 deployment.toml의 [oauth] 항목에 authorize_internal_scopes = false를 추가하세요. authorize_all_scopes가 없거나 false이면 영향이 없습니다.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- WSO2 Identity Server 7.1.0 32 이상
- WSO2 Identity Server 7.0.0 125 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: security.docs.wso2.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인