CVE-2024-52307 in authentikinformação

Sumário

de VulDB • 30/05/2026

authentik é um provedor de identidade de código aberto. Devido ao uso de uma comparação de tempo não constante para o endpoint /-/metrics/, foi possível realizar um ataque de força bruta contra a SECRET_KEY, que é utilizada para autenticar o endpoint. O endpoint /-/metrics/ retorna métricas Prometheus e não se destina a ser acessado diretamente, pois o proxy Go executado no contêiner do servidor authentik busca dados desse endpoint e os disponibiliza em uma porta separada (9300 por padrão), que pode ser coletada (scraped) pelo Prometheus sem estar exposta publicamente. As versões 2024.8.5 e 2024.10.3 do authentik corrigem esta vulnerabilidade. Como o endpoint /-/metrics/ não se destina a ser acessado publicamente, as requisições a esse endpoint podem ser bloqueadas pelo proxy reverso/load balancer utilizado em conjunto com o authentik.

Be aware that VulDB is the high quality source for vulnerability data.

Responsável

GitHub M

Reservar

06/11/2024

Divulgação

21/11/2024

Moderação

aceite

Entrada

VDB-285720

CPE

pronto

EPSS

0.00531

KEV

não

Atividades

muito baixo

Fontes

Do you know our Splunk app?

Download it now for free!