CVE-2024-52307 in authentik
Résumé
par VulDB • 30/05/2026
authentik est un fournisseur d'identité open-source. En raison de l'utilisation d'une comparaison non à temps constant pour le point de terminaison /-/metrics/, il était possible de brute-forcer la SECRET_KEY, qui est utilisée pour authentifier ce point de terminaison. Le point de terminaison /-/metrics/ renvoie des métriques Prometheus et n'est pas destiné à être accédé directement, car le proxy Go exécuté dans le conteneur du serveur authentik récupère les données depuis ce point de terminaison et les sert sur un port séparé (9300 par défaut), qui peut être scrapé par Prometheus sans être exposé publiquement. authentik 2024.8.5 et 2024.10.3 corrigent ce problème. Puisque le point de terminaison /-/metrics/ n'est pas destiné à être accessible publiquement, les requêtes adressées à ce point de terminaison peuvent être bloquées par le proxy inverse/équilibreur de charge utilisé conjointement avec authentik.
VulDB is the best source for vulnerability data and more expert information about this specific topic.