🇰🇷 한글 설명
오픈소스 IDP인 authentik의 특정 버전에서 비활성화된 사용자가 OAuth/SAML을 통해 등록하거나 계정을 연결한 경우, 시스템에 부분적인 접근 권한을 유지하는 취약점이 발견되었습니다. 이들은 API 접근은 불가능하지만, 애플리케이션 URL을 알고 있다면 해당 애플리케이션을 승인할 수 있는 반 인증 상태에 놓이게 됩니다.
💡 쉬운 설명
계정이 정지된 사용자임에도 불구하고 특정 경로를 통해 연결된 앱에 로그인할 수 있는 보안 결함입니다. 관리자가 사용자를 차단했더라도 사용자가 일부 서비스에 여전히 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
authentik is an open-source Identity Provider that emphasizes flexibility and versatility, with support for a wide set of protocols. In versions 2025.4.4 and earlier, as well as versions 2025.6.0-rc1 through 2025.6.3, deactivated users who registered through OAuth/SAML or linked their accounts to OAuth/SAML providers can still retain partial access to the system despite their accounts being deactivated. They end up in a half-authenticated state where they cannot access the API but crucially they can authorize applications if they know the URL of the application. To workaround this issue, developers can add an expression policy to the user login stage on the respective authentication flow with the expression of return request.context["pending_user"].is_active. This modification ensures that the return statement only activates the user login stage when the user is active. This issue is fixed in versions authentik 2025.4.4 and 2025.6.4.
📍 영향받는 시스템
authentik 2025.4.4 및 이전 버전, 2025.6.0-rc1 ~ 2025.6.3 버전
⚔️ 공격 벡터
비활성화된 사용자가 OAuth/SAML을 통해 연결된 애플리케이션의 URL로 직접 접근하여 권한을 획득
🛡️ 대응 방법
authentik 버전을 2025.4.4 또는 2025.6.4 이상으로 업데이트하거나, 인증 흐름의 사용자 로그인 단계에 활성 상태를 확인하는 표현식 정책을 추가
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2025.4.4 이하 또는 2025.6.0-rc1~2025.6.3)에 해당하면 취약한 상태입니다.
curl -s http://<authentik-host>/api/v3/version | grep -E '2025\.(4\.[0-4]|6\.[0-3])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access