CVE-2024-52307 in authentik
Resumen
por MITRE • 2024-11-21
authentik es un proveedor de identidad de código abierto. Debido al uso de una comparación de tiempo no constante para el endpoint /-/metrics/, fue posible forzar la SECRET_KEY, que se utiliza para autenticar el endpoint. El endpoint /-/metrics/ devuelve métricas de Prometheus y no está destinado a ser accedido directamente, ya que el proxy Go que se ejecuta en el contenedor del servidor authentik obtiene datos de este endpoint y los entrega en un puerto separado (9300 de manera predeterminada), que Prometheus puede extraer sin exponerlo públicamente. authentik 2024.8.5 y 2024.10.3 solucionan este problema. Dado que el endpoint /-/metrics/ no está destinado a ser accedido públicamente, las solicitudes al endpoint pueden ser bloqueadas por el proxy inverso/balanceador de carga utilizado junto con authentik.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.