Keycloak 동적 클라이언트 등록 기능의 신분 위조 취약점
여러 앱의 로그인을 맡는 프로그램에서 다른 사람인 척 들어갈 수 있습니다.
요약
Keycloak의 동적 클라이언트 등록 기능에서 보호된 설정을 검증하지 않아, 등록 권한을 가진 사용자가 서명된 인증 정보의 사용자 ID(sub)와 대상(aud)을 위조할 수 있습니다. 이렇게 만든 정보로 다른 사용자인 척하며, 이를 믿는 서비스에 접근할 수 있습니다.
해당 조건
- 동적 클라이언트 등록 기능 사용
- 초기 접근 토큰(IAT) 보유자
대처법
Red Hat build of Keycloak 26.4 라인은 26.4.17로, 26.6 라인은 26.6.8로 업데이트하세요. 업데이트 전에 설치본, 설정 파일, 데이터베이스를 백업하세요. Red Hat Single Sign-On 7은 Red Hat 권고문을 확인하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Red Hat build of Keycloak 26.4 26.4.17 이상
- Red Hat build of Keycloak 26.6 26.6.8 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인