아마존의 Application Load Balancer용 ASP.NET Core 배포에서 OpenId Connect 통합을 위해 사용되는 미들웨어가 포함된 Amazon.ApplicationLoadBalancer.Identity.AspNetCore 저장소에는 보안 취약점이 있습니다. 이 취약점은 JWT 발급자와 서명자 확인을 실패하기 때문에 발생합니다. 이 취약점은 인프라 소유자가 ALB 대상에 대한 인터넷 트래픽을 허용하면, 신뢰할 수 없는 엔티티가 JWT를 서명하고 유효한 OIDC 연합 세션을 모방할 수 있습니다. 모든 버전의 저장소가 이 취약점에 영향을 받습니다. 이 저장소는 더 이상 지원되지 않으며 사용되지 않습니다.보안 모범 사례로, 사용자는 ELB 대상이 공용 IP 주소를 갖지 않도록 해야 합니다. 또한 사용자는 JWT의 서명자 속성이 Application Load Balancer의 ARN과 일치하는지 확인해야 합니다. 이 확인은 보안 침해를 방지하는 데 중요합니다. ALB 문서에는 JWT 서명 확인과 JWT 헤더의 서명자 필드 확인에 대한 지침이 제공됩니다.이 취약점에는 CVE-2024-10125가 할당되었습니다. 보안 관련 질문이나 우려 사항이 있는 사용자는 [email protected]으로 이메일을 보내서 도움을 받을 수 있습니다.