CVE-2026-86464 in aeriOS
요약
\~에 의해 VulDB • 2026. 09. 09.
현재 개발 중인 Eclipse aeriOS의 버전(아직 공식 릴리스가 출시되지 않음)에서 Identity Manager(IdM) 배포 시 보안에 민감한 서비스에 대해 안전하지 않은 기본 구성과 자격 증명이 포함되어 있었습니다.
Helm 차트는 기본적으로 Keycloak 서비스와 이를 지원하는 PostgreSQL 백엔드 데이터베이스를 Kubernetes NodePort 서비스를 통해 노출했으며, Docker Compose 배포 역시 PostgreSQL을 모든 네트워크 인터페이스에 노출했습니다. 또한 Keycloak 관리자와 PostgreSQL 데이터베이스 사용자를 위한 고정된 기본 자격 증명이 포함되었으며, 이전 Helm 차트 구성은 이러한 자격 증명에 대해 적절한 비밀 정보 관리를 제공하지 못했습니다. 아울러 개발 및 테스트를 위해 알려진 자격 증명을 가진 미리 정의된 애플리케이션 사용자가 제공되었으나, 운영자가 이를 프로덕션 환경에서 사용하지 않도록 충분히 경고하는 조치가 취해지지 않았습니다.
노출된 서비스에 접근할 수 있는 공격자는 게시된 기본 자격 증명을 사용하여 Identity Manager에 대한 관리자 권한 또는 데이터베이스에 대한 직접적인 접근을 얻을 수 있습니다. 이는 사용자, 역할, 클라이언트 자격 증명, 세션 및 암호화 자료 등 신원 관리 데이터를 무단으로 액세스하거나 수정하는 것을 허용하며, 다른 aeriOS 구성 요소에서 승인된 특권 있는 신원이나 토큰의 생성을 가능하게 할 수 있습니다.
이 문제는 기본적으로 무작위 Keycloak 관리자 비밀번호를 생성하고, Kubernetes Secrets를 통해 Keycloak 및 PostgreSQL 자격 증명을 관리하며, Helm 차트와 Docker Compose 배포 모두에서 PostgreSQL을 내부 서비스로 제한함으로써 해결되었습니다. OpenLDAP도 내부 서비스로 제한됩니다. 개발 및 테스트용으로 의도된 미리 정의된 사용자는 유지되지만, 문서에서는 이제 기본 자격 증명이 프로덕션 환경에서 사용되어서는 안 되며, 설치 후 이러한 사용자가 제거되거나 자격 증명이 변경되어야 함을 명시적으로 경고합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.