CVE-2024-52307 in authentik
Zusammenfassung
von VulDB • 14.05.2026
authentik ist ein Open-Source-Identitätsanbieter. Aufgrund der Verwendung eines nicht konstanten Zeitvergleichs für den Endpunkt /-/metrics/ war es möglich, den SECRET_KEY zu bruteforcen, der zur Authentifizierung des Endpunkts verwendet wird. Der Endpunkt /-/metrics/ gibt Prometheus-Metriken zurück und ist nicht für den direkten Zugriff vorgesehen, da der Go-Proxy, der im authentik-Server-Container ausgeführt wird, Daten von diesem Endpunkt abruft und sie auf einem separaten Port (standardmäßig 9300) bereitstellt, der von Prometheus abgerufen werden kann, ohne öffentlich zugänglich zu sein. authentik 2024.8.5 und 2024.10.3 beheben dieses Problem. Da der Endpunkt /-/metrics/ nicht für den öffentlichen Zugriff vorgesehen ist, können Anforderungen an den Endpunkt durch den Reverse-Proxy/Load-Balancer blockiert werden, der in Verbindung mit authentik verwendet wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.