Red Hat build of Keycloak 이메일 자동 연결 결함으로 계정 탈취 가능
로그인 통합 서버에서 남의 계정을 뺏길 수 있습니다.
요약
Keycloak이 외부 ID 제공자에서 들어온 신원을 이메일만 보고 기존 로컬 계정에 자동으로 연결하며, 그 이메일이 제공자에서 확인되었는지 검사하지 않습니다. 공격자가 같은 이메일을 인증되지 않은 외부 계정에 등록해 피해자의 계정을 가로챌 수 있습니다.
해당 조건
- 외부 ID 제공자 연동(브로커링)과 이메일 기준 자동 연결 사용
대처법
Red Hat build of Keycloak 26.4 라인은 26.4.17로, 26.6 라인은 26.6.8로 업데이트하세요. Red Hat Single Sign-On 7은 수정 버전이 명시되지 않았으니 권고문을 확인하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Red Hat build of Keycloak 26.4 26.4.17 이상
- Red Hat build of Keycloak 26.6 26.6.8 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인