🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 API-Access-Token 메커니즘에서 관리자 권한을 탈취할 수 있는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 사용자 비밀번호 재설정을 포함하여 authentik 애플리케이션에 대한 모든 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
인증 시스템의 허점을 이용해 일반 사용자가 관리자 권한을 몰래 뺏을 수 있는 보안 문제입니다. 관리자가 되면 다른 사용자의 비밀번호를 바꾸는 등 시스템의 모든 것을 마음대로 조작할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
authentik is an open-source Identity Provider that emphasizes flexibility and versatility. Authentik API-Access-Token mechanism can be exploited to gain admin user privileges. A successful exploit of the issue will result in a user gaining full admin access to the Authentik application, including resetting user passwords and more. This issue has been patched in version(s) 2024.2.4, 2024.4.2 and 2024.6.0.
📍 영향받는 시스템
authentik (2024.2.4, 2024.4.2, 2024.6.0 미만 버전)
⚔️ 공격 벡터
API-Access-Token 메커니즘을 악용한 권한 상승 공격
🛡️ 대응 방법
authentik을 최신 패치 버전(2024.2.4, 2024.4.2 또는 2024.6.0 이상)으로 업데이트하십시오.
🔧 검증 코드
API 응답에서 확인된 버전이 취약점이 해결된 패치 버전 이상인지 확인합니다.
curl -s http://<authentik-host>/api/v3/version | grep -E '"version": "(2024\.[246]\.[2-9]|2024\.[5]\.|2024\.[7-9]\.|2025\.)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access