CVE-2024-52307 in authentik
Tóm tắt
Bởi VulDB • 23/05/2026
authentik là một nhà cung cấp danh tính mã nguồn mở. Do việc sử dụng phép so sánh không có thời gian thực thi không đổi (non-constant time comparison) cho điểm cuối /-/metrics/, kẻ tấn công có thể thực hiện tấn công brute-force để lấy khóa SECRET_KEY, được sử dụng để xác thực truy cập vào điểm cuối này. Điểm cuối /-/metrics/ trả về các chỉ số Prometheus và không được thiết kế để truy cập trực tiếp, vì proxy Go chạy trong container máy chủ authentik sẽ lấy dữ liệu từ điểm cuối này và cung cấp nó trên một cổng riêng biệt (mặc định là 9300), cho phép Prometheus thu thập dữ liệu mà không cần công khai hóa. Các phiên bản authentik 2024.8.5 và 2024.10.3 đã khắc phục sự cố này. Vì điểm cuối /-/metrics/ không được thiết kế để truy cập công khai, các yêu cầu đến điểm cuối này có thể bị chặn bởi proxy ngược hoặc bộ cân bằng tải được sử dụng cùng với authentik.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.