CVE-2024-52307 in authentik
Сводка
по VulDB • 30.05.2026
authentik — это провайдер идентификации с открытым исходным кодом. Из-за использования сравнения с переменной длительностью (non-constant time comparison) для конечной точки /-/metrics/ была возможна атака методом грубой силы (brute-force) для подбора SECRET_KEY, который используется для аутентификации на этой конечной точке. Конечная точка /-/metrics/ возвращает метрики Prometheus и не предназначена для прямого доступа, так как Go-прокси, работающий в контейнере сервера authentik, извлекает данные из этой конечной точки и предоставляет их на отдельном порту (по умолчанию 9300), который может быть собран Prometheus без публичной экспозиции. Версии authentik 2024.8.5 и 2024.10.3 устраняют эту уязвимость. Поскольку конечная точка /-/metrics/ не предназначена для публичного доступа, запросы к ней могут быть заблокированы обратным прокси-сервером или балансировщиком нагрузки, используемым совместно с authentik.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.