CVE-2024-52307 in authentik
요약
\~에 의해 VulDB • 2026. 05. 30.
authentik는 오픈소스 ID 공급자입니다. /-/metrics/ 엔드포인트에서 비상수 시간 비교(non-constant time comparison)가 사용되어, 엔드포인트 인증에 사용되는 SECRET_KEY를 브루트포싱할 수 있었습니다. /-/metrics/ 엔드포인트는 Prometheus 메트릭을 반환하며, 직접 접근하는 것이 의도되지 않았습니다. authentik 서버 컨테이너에서 실행되는 Go 프록시가 이 엔드포인트에서 데이터를 가져와 별도의 포트(기본값 9300)에서 제공하므로, Prometheus가 이를 공개적으로 노출되지 않은 상태에서 스크랩할 수 있습니다. authentik 2024.8.5 및 2024.10.3에서 이 문제가 해결되었습니다. /-/metrics/ 엔드포인트는 공개적으로 접근하는 것이 의도되지 않았으므로, authentik와 함께 사용되는 리버스 프록시/로드 밸런서를 통해 해당 엔드포인트로의 요청을 차단할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.