CVE-2023-36456

authentik açıq mənbəli Identity Provider-dir. 2023.4.3 və 2023.5.5 versiyalarından əvvəl authentik həm Python kodunda, həm də go kodunda X-Forwarded-For və X-Real-IP başlıqlarının mənbəyini yoxlamır. Bu zəifliyə yalnız istifadəçilər tərəfindən birbaşa, tərs proxy olmadan əlçatan olan authentik quraşdırmaları həssasdır. Loqlarda IP ünvanlarının mümkün saxtalaşdırılması, (daxili) outpost vasitəsilə proxy edilən aşağı axın tətbiqləri, istifadə olunarsa, fərdi axınlarda IP-nin yan keçməsi mümkündür. Bu, kiminsə istifadəçinin IP ünvanını yoxlayan axınları və ya siyasətləri olduqda mümkün təhlükəsizlik riski yaradır, məsələn, istifadəçi şirkət şəbəkəsinə qoşulduqda onun iki faktorlu autentifikasiyasına məhəl qoymamaq istədikdə. İkinci təhlükəsizlik riski ondan ibarətdir ki, loq fayllarındakı və istifadəçi sessiyalarındakı IP ünvanları artıq etibarlı deyil. Hər kəs bu ünvanı saxtalaşdıra bilər və istifadəçinin hesabının loqunda göstərilən IP ünvandan daxil olub-olmadığını yoxlamaq mümkün deyil. Üçüncü risk ondan ibarətdir ki, bu başlıq outpost arxasındakı proxy edilən tətbiqə ötürülür. Tətbiq IP ünvanına əsaslanaraq hər hansı yoxlama, loqlaşdırma, bloklama və ya sürət məhdudlaşdırması edə bilər və bu IP ünvanı istəyən hər kəs tərəfindən dəyişdirilə bilər. 2023.4.3 və 2023.5.5 versiyaları bu problem üçün yamaq ehtiva edir.