🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 특정 버전에서 Google Chrome 기기 신뢰 단계가 실제 기기 인증 실행 여부를 확인하지 않고 인증 흐름을 진행하는 취약점이 발견되었습니다. 공격자는 인증용 iframe을 건너뛰어 기기 인증을 받지 않은 상태에서도 인증을 통과할 수 있습니다. 이 문제는 2026.2.6 및 2026.5.5 버전에서 수정되었습니다.
💡 쉬운 설명
기기가 안전한지 확인하는 검사 과정을 거치지 않고도 로그인 단계가 그냥 넘어가 버리는 보안 구멍이 있습니다. 이로 인해 인증되지 않은 기기를 사용하는 공격자가 보안 검사를 우회하여 접속할 수 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Prior to 2026.2.6 and 2026.5.5, the enterprise Google Chrome device-trust stages advance the flow without confirming that the out-of-band device attestation actually ran. Affected enterprise deployments place either a Google Chrome Endpoint stage with mode set to REQUIRED or the deprecated Google Chrome Device Trust Connector stage in an authentication flow. The device attestation occurs in a verification iframe that calls the Google Verified Access API and records the verified device on success, but the vulnerable stages treat the flow as passed as soon as the stage is submitted. An attacker who can reach such a stage, including after primary username and password authentication, can skip the verification iframe and authenticate from a device that was never verified. Where device trust is the only additional factor, that protection is fully bypassed, while other configured factors remain in force. This issue is fixed in versions 2026.2.6 and 2026.5.5.
📍 영향받는 시스템
authentik versions prior to 2026.2.6 and 2026.5.5 (using Google Chrome Endpoint or Device Trust Connector stages)
⚔️ 공격 벡터
인증 흐름 중 기기 검증 iframe을 강제로 건너뛰어 인증 단계를 우회하는 방식
🛡️ 대응 방법
authentik을 버전 2026.2.6 또는 2026.5.5 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전인 2026.2.6 또는 2026.5.5 이상이 포함되어 있는지 확인하십시오.
docker exec <container_id> authentik manage version | grep -E '2026.2.6|2026.5.5'
💻 영향받는 소프트웨어
Cisco ISE Passive Identity Connector