🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 LDAP Source API에서 객체 수준의 읽기 권한 필터가 강제되지 않는 취약점이 발견되었습니다. 인증되지 않은 사용자라도 진단 작업을 호출하여 LDAP 디렉토리의 구조, 명명 규칙, 특정 계정 및 그룹의 존재 여부를 파악할 수 있습니다.
💡 쉬운 설명
해커가 인증 없이도 회사의 사용자 명단이나 그룹 구조를 엿볼 수 있는 보안 구멍이 발견되었습니다. 실제 비밀번호는 알 수 없지만, 어떤 계정들이 있는지 파악하여 다음 공격을 준비하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Prior to 2026.2.6 and 2026.5.5, a diagnostic action on the LDAP Source API does not enforce the object-level read-authorization filter used by the rest of the API. Any party able to reach the API, including an unauthenticated client, can invoke the diagnostic action against a configured LDAP Source. The server then connects to the upstream directory using the source's configured bind credentials and returns a bounded set of directory entries. The response exposes the distinguished names of those entries and the names of the attributes present on them, revealing directory structure, naming conventions, and the existence of specific accounts and groups, but not attribute values. Deployments without a configured LDAP Source are not affected. This issue is fixed in versions 2026.2.6 and 2026.5.5.
📍 영향받는 시스템
authentik versions prior to 2026.2.6 and 2026.5.5 (with LDAP Source configured)
⚔️ 공격 벡터
인증되지 않은 클라이언트가 LDAP Source API의 진단(diagnostic) 액션을 호출하여 정보 탈취
🛡️ 대응 방법
authentik을 2026.2.6 또는 2026.5.5 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 authentik의 버전이 2026.2.6 또는 2026.5.5보다 낮은지 확인하십시오.
python3 -c "import authentik; print(authentik.__version__)" 2>/dev/null || echo 'Check installed version via package manager or docker image tag'