CVE-2021-3754

이 저장소는 2021년 8월 21일에 본인이 발견하고 보고한 CVE-2021-3754의 취약점 세부 정보와 익스플로잇을 문서화합니다.

메트릭

• CWE-20: 부적절한 입력 검증
• CVSS: 5.3 (중간)

설명

Apache Keycloak 및 Redhat SSO에서 공격자가 기존 사용자의 이메일 ID와 동일한 사용자 이름으로 자신을 등록할 수 있는 결함이 발견되었습니다.
이는 사용자 이름이 이메일보다 먼저 평가되기 때문에 발생합니다. Keycloak은 이메일을 사용자 이름으로 사용할 수 있도록 허용하지만, 해당 이메일로 이미 계정이 존재하는지 확인하지 않습니다.

영향

위와 같은 동작으로 인해 사용자가 비밀번호를 잊어버릴 경우 비밀번호 복구 이메일을 받는 데 문제가 발생하여 일시적으로 계정에서 잠길 수 있습니다.

완화 조치 (Redhat 제안)

해결 방법은 로그인 설정에서 "이메일을 사용자 이름으로 사용" 플래그를 활성화하거나 "이메일로 로그인"을 비활성화하는 것입니다.
참조

개념 증명/익스플로잇

다음은 제가 처음에 Redhat에 보고한 개념 증명 비디오로, 전체 취약점과 익스플로잇 단계를 보여줍니다:

참고 사항

• Redhat이 제안한 해결 방법은 임시적이며, 부적절한 입력 검증의 근본 문제는 Redhat/Keycloak에서 수정되지 않았습니다.
• 위에서 Redhat이 Keycloak에 대해 제안한 완화 조치는 제가 테스트하고 확인하지 않았습니다.
• 제품/애플리케이션에서 Keycloak/Redhat SSO를 사용하는 경우 여전히 취약합니다. Redhat SSO가 현재까지도 이 문제에 취약하다는 것을 확인했습니다.
• Keycloak을 사용하고 로그인 화면 설정을 제대로 구성하지 않은 경우 여전히 취약할 수 있습니다.
• 업데이트 - 이 취약점은 KEYCLOAK 버전 24.0.1에서 패치되었습니다 (https://github.com/advisories/GHSA-4vc8-pg5c-vg4x)

중요 링크

• https://nvd.nist.gov/vuln/detail/CVE-2021-3754
• https://www.cvedetails.com/cve/CVE-2021-3754/
• https://bugzilla.redhat.com/show_bug.cgi?id=1999196
• https://access.redhat.com/security/cve/CVE-2021-3754
• https://github.com/advisories/GHSA-4vc8-pg5c-vg4x
• https://github.com/advisories/GHSA-j9xq-j329-2xvg
• https://vulners.com/cve/CVE-2021-3754
• https://www.tenable.com/cve/CVE-2021-3754