🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 /-/metrics/ 엔드포인트에서 상수 시간이 아닌 비교 방식을 사용하여 SECRET_KEY를 무차별 대입 공격(Brute-force)할 수 있는 취약점이 발견되었습니다. 이 키는 해당 엔드포인트의 인증에 사용되며, 공격자가 이를 탈취할 경우 내부 메트릭 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
인증 시스템의 비밀번호를 확인하는 과정이 너무 느리게 반응하여, 공격자가 여러 번 시도하며 비밀번호를 알아낼 수 있는 문제입니다. 이 비밀번호가 뚫리면 시스템의 내부 상태 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Due to the usage of a non-constant time comparison for the /-/metrics/ endpoint it was possible to brute-force the SECRET_KEY, which is used to authenticate the endpoint. The /-/metrics/ endpoint returns Prometheus metrics and is not intended to be accessed directly, as the Go proxy running in the authentik server container fetches data from this endpoint and serves it on a separate port (9300 by default), which can be scraped by Prometheus without being exposed publicly. authentik 2024.8.5 and 2024.10.3 fix this issue. Since the /-/metrics/ endpoint is not intended to be accessed publicly, requests to the endpoint can be blocked by the reverse proxy/load balancer used in conjunction with authentik.
📍 영향받는 시스템
authentik 2024.8.5 및 2024.10.3 미만 버전
⚔️ 공격 벡터
비상수 시간 비교 취약점을 이용한 SECRET_KEY 무차별 대입 공격(Brute-force)
🛡️ 대응 방법
authentik을 최신 버전(2024.8.5 또는 2024.10.3 이상)으로 업데이트하거나 리버스 프록시에서 /-/metrics/ 경로에 대한 접근을 차단하십시오.
🔧 검증 코드
출력된 버전이 2024.8.5 또는 2024.10.3보다 낮은지 확인하십시오.
docker exec $(docker ps -q --filter ancestor=authentik/server) authentik --version 2>/dev/null || echo 'authentik not found'