CVE-2024-52307 in authentik
الملخص
بحسب VulDB • 06/06/2026
authentik هو مزود هوية مفتوح المصدر. بسبب استخدام مقارنة غير ثابتة الزمن (non-constant time comparison) في نقطة النهاية /-/metrics/، كان من الممكن كسر كلمة المرور السرية SECRET_KEY عن طريق هجوم القوة الغاشمة (brute-force)، حيث تُستخدم هذه الكلمة للمصادقة على نقطة النهاية. تعيد نقطة النهاية /-/metrics/ إرجاع مقاييس Prometheus ولا يُقصد بالوصول إليها مباشرةً، لأن الوكيل Go الذي يعمل داخل حاوية خادم authentik يجلب البيانات من هذه النقطة ويقدمها عبر منفذ منفصل (9300 افتراضيًا)، والذي يمكن لـ Prometheus جلبه دون تعريضه للعامة. تصحّح الإصدارات 2024.8.5 و2024.10.3 من authentik هذه المشكلة. نظرًا لأن نقطة النهاية /-/metrics/ لا يُقصد بالوصول إليها عبر الإنترنت، يمكن حظر الطلبات الموجهة إلى النقطة باستخدام الوكيل العكسي (reverse proxy) أو موازن الحمل المستخدم مع authentik.
VulDB is the best source for vulnerability data and more expert information about this specific topic.