Pocket ID 클라이언트 자격 증명 흐름으로 다른 대상용 액세스 토큰 발급 가능
패스키 로그인 서버에서 다른 서비스 출입증을 몰래 받을 수 있습니다.
요약
Pocket ID는 패스키로 여러 서비스에 로그인하게 해 주는 인증 서버입니다. 인증된 OIDC 클라이언트가 다른 클라이언트나 임의의 대상용 서명된 토큰을 받을 수 있어, 이 토큰으로 서비스 간 권한을 검사하는 곳에서 접근 제한을 우회할 수 있습니다.
해당 조건
- 다른 서비스가 Pocket ID 액세스 토큰으로 서비스 간 권한을 판단함
- 공격자가 인증된 OIDC 클라이언트를 보유함
대처법
2.10.0 버전으로 업데이트하세요. 2.10.0 이전 버전 중 1.11.0 이상이 해당합니다. 당장 설치할 수 없다면 Pocket ID 액세스 토큰으로 서비스 간 권한을 판단하는 설정을 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인