🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 특정 버전에서 OAuth 제공자 인증 시 생성되는 서비스 계정이 비활성화된 상태에서도 인증이 가능한 취약점이 발견되었습니다. 이로 인해 비활성화된 계정을 통한 비정상적인 접근이 허용될 수 있습니다. 최신 버전인 2025.8.5 및 2025.10.2로 업데이트하여 이 문제를 해결할 수 있습니다.
💡 쉬운 설명
사용 중지 처리를 한 계정임에도 불구하고 특정 방식으로 로그인이 되어버리는 보안 허점이 발견되었습니다. 계정을 막아두어도 문이 열려 있는 것과 같으므로 최신 버전으로 업데이트가 필요합니다.
🇺🇸 원문 (English)
authentik is an open-source Identity Provider. Prior to versions 2025.8.5 and 2025.10.2, when authenticating with client_id and client_secret to an OAuth provider, authentik creates a service account for the provider. In previous authentik versions, authentication for this account was possible even when the account was deactivated. Other permissions are correctly applied and federation with other providers still take assigned policies correctly into account. authentik versions 2025.8.5 and 2025.10.2 fix this issue. A workaround involves adding a policy to the application that explicitly checks if the service account is still valid, and deny access if not.
📍 영향받는 시스템
authentik versions prior to 2025.8.5 and 2025.10.2
⚔️ 공격 벡터
비활성화된 서비스 계정의 client_id 및 client_secret을 이용한 OAuth 인증 시도
🛡️ 대응 방법
authentik을 2025.8.5 또는 2025.10.2 이상의 버전으로 업데이트하거나, 서비스 계정의 유효성을 체크하는 정책을 애플리케이션에 추가
🔧 검증 코드
출력된 버전이 2025.8.5 또는 2025.10.2 미만인지 확인하여 취약 여부를 판단합니다.
docker exec <authentik_container_name> python manage.py --version 2>/dev/null || echo 'Check version manually'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access