🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik에서 세션 저장소로 데이터베이스를 사용하는 경우, 웹 인터페이스나 API를 통해 세션을 삭제해도 세션이 실제로 무효화되지 않는 취약점이 발견되었습니다. 이로 인해 세션 소유자가 권한을 계속 유지할 수 있는 문제가 발생하며, 최신 버전으로 업데이트하여 해결할 수 있습니다.
💡 쉬운 설명
로그아웃을 하거나 관리자가 접속을 끊어도 실제로는 로그인이 유지되는 보안 결함입니다. 해커가 탈취한 계정 정보를 이용해 계속해서 시스템에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Prior to versions 2024.12.4 and 2025.2.3, when authentik was configured to use the database for session storage (which is a non-default setting), deleting sessions via the Web Interface or the API would not revoke the session and the session holder would continue to have access to authentik. authentik 2025.2.3 and 2024.12.4 fix this issue. Switching to the cache-based session storage until the authentik instance can be upgraded is recommended. This will however also delete all existing sessions and users will have to re-authenticate.
📍 영향받는 시스템
authentik versions prior to 2024.12.4 and 2025.2.3 (when using database for session storage)
⚔️ 공격 벡터
세션 삭제 명령을 수행해도 무효화되지 않는 점을 이용한 세션 유지 및 권한 오용
🛡️ 대응 방법
authentik을 2024.12.4 또는 2025.2.3 이상 버전으로 업그레이드하거나, 세션 저장소를 캐시 기반으로 전환하십시오.
🔧 검증 코드
출력된 버전이 2024.12.4 또는 2025.2.3 미만인지 확인하십시오.
docker exec <container_id> authentik manage --version 2>/dev/null || echo 'Check version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access