🇰🇷 한글 설명
오픈소스 ID 제공자인 authentik의 API 직렬화 과정에서 보안 결함이 발견되었습니다. 특정 설정에 대한 조회 권한이 있는 계정은 해당 설정의 수정 권한이나 비밀 정보 읽기 권한이 없더라도 저장된 자격 증명을 반환받을 수 있습니다. 이 문제는 2026.2.7, 2026.5.7, 2026.8.2 버전에서 수정되었습니다.
💡 쉬운 설명
시스템의 설정을 볼 수 있는 권한만 가진 사용자가 실수로 비밀번호나 인증 키 같은 민감한 정보까지 모두 볼 수 있는 보안 구멍이 발견되었습니다. 권한이 없는 사람이 중요한 비밀 정보를 훔쳐갈 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
authentik is an open-source identity provider. Prior to 2026.2.7, 2026.5.7, and 2026.8.2, authentik API serializers return stored credentials when an account has view permission on an affected configuration, even when that account is not authorized to change the configuration or read its secrets. Affected configurations include one-time code delivery by mail or SMS, outbound provisioning targets, device trust integrations, identity sources, the Kubernetes outpost integration, applications using a client or shared secret, and applications using a proxy provider. Deployments are affected when view permission is granted to accounts that are not intended to read these credentials; deployments where every viewer is permitted to read them are not affected. This issue is fixed in versions 2026.2.7, 2026.5.7, and 2026.8.2.
📍 영향받는 시스템
authentik versions prior to 2026.2.7, 2026.5.7, and 2026.8.2
⚔️ 공격 벡터
조회 권한을 가진 계정을 이용해 API를 호출하여 저장된 자격 증명 탈취
🛡️ 대응 방법
authentik을 최신 보안 패치 버전(2026.2.7, 2026.5.7, 2026.8.2 이상)으로 업데이트
🔧 검증 코드
출력된 이미지 태그 버전을 확인하여 취약한 버전 범위에 해당하는지 체크
docker ps --format '{{.Image}}' | grep authentik