Patch Ticker

Keycloak 관리 명령 도구(kcadm) 가짜 인증서 허용 문제

관리 도구가 가짜 서버에 속아 관리자 암호를 뺏길 수 있습니다.

요약

Keycloak 명령줄 관리 도구 kcadm이 사용자 지정 truststore를 쓸 때 호스트 이름만 맞으면 자체 서명 인증서를 모두 받아들입니다. 네트워크 공격자가 Keycloak 서버인 척하여 관리자 자격 증명을 빼낼 수 있으며, Red Hat build of Keycloak과 Red Hat Single Sign-On 7 등이 해당합니다.

해당 조건

  • 사용자 지정 truststore로 서버 신원을 검증하는 kcadm 사용

대처법

Red Hat build of Keycloak 26.4 계열은 26.4.17, 26.6 계열은 26.6.8로 업데이트하세요. Red Hat Single Sign-On 7은 출처에 고정 버전이 없으니 Red Hat 권고를 확인하세요.

내 제품에 맞는 버전 이상으로 업데이트하세요:

  • Red Hat build of Keycloak 26.4 26.4.17 이상
  • Red Hat build of Keycloak 26.6 26.6.8 이상

대상 제품과 운영체제

  • Linux
  • Red Hat AMQ Broker 7
  • Red Hat build of Keycloak 26.4
  • Red Hat build of Keycloak 26.4.17
  • Red Hat build of Keycloak 26.6
  • Red Hat build of Keycloak 26.6.8
  • Red Hat Fuse 7
  • Red Hat JBoss Enterprise Application Platform 7
  • Red Hat JBoss Enterprise Application Platform 8
  • Red Hat JBoss Enterprise Application Platform Expansion Pack
  • Red Hat Satellite 6
  • Red Hat Single Sign-On 7

CVE 번호

원문 링크

시각

처음 게시

처음 확인