Twenty가 위조된 SSO 콜백을 통한 신원 사칭으로 관리자 계정을 완전히 탈취함
공격자는 SSO 로그인 콜백 메커니즘의 논리 결함을 이용할 수 있습니다. SECURITY 권한을 가진 상태에서 악의적 OIDC 신원 제공자를 구성하고 대상 관리자의 이메일을 포함한 요청을 만듭니다. 시스템은 이메일 귀속만 검증하고 외부 신원 식별자나 원래 인증 소스에 묶지 않아 합법적인 토큰을 직접 발급합니다. 이 행위는 IMPERSONATE 권한 검사, 2차 검증 및 감사 로그 기록을 우회하여 관리자를 포함한 임의 워크스페이스 구성원의 계정을 완전히 탈취하고, 시스템의 무결성과 기밀성을 심각하게 파괴합니다.
컴포넌트
Twenty는 기업급 사용자 관리를 대상으로 하는 고객 관계 관리 시스템이며, 그 아키텍처는 다중 워크스페이스 협업과 단일 로그인 통합을 지원하고, 통일된 신원 인증 흐름으로 조직 내부의 자원 스케줄링, 권한 설정 및 업무 프로세스 자동화를 최적화하는 것을 목표로 합니다.
유형
Authentication Bypass by Spoofing (CWE-290)
저장소
github.com/twentyhq/twenty
· Star 56861
대응 방안
- SSO 로그인을 미리 연결된 외부 신원 식별자에 엄격히 결합하고, 이메일이 일치한다는 이유만으로 하는 암묵적 연관을 금지하며, 신원을 전환할 때 완전한 인가 검사와 감사 추적을 실행할 것을 권장합니다.
