CVE-2023-36456

authentik açık kaynaklı bir Kimlik Sağlayıcıdır. 2023.4.3 ve 2023.5.5 versiyonlarından önce authentik, hem Python kodunda hem de go kodunda X-Forwarded-For ve X-Real-IP başlıklarının kaynağını doğrulamamaktadır. Buna yalnızca ters vekil sunucu (reverse proxy) olmadan kullanıcılar tarafından doğrudan erişilebilen authentik kurulumları karşıtlık göstermektedir. Günlüklerde IP adreslerinin sahteciliği (spoofing), (yerleşik) outpost tarafından vekillik edilen alt uygulamalarda IP sahteciliği ve eğer kullanılıyorsa özel akışlarda IP atlatma mümkündür. Bu durum, örneğin kullanıcı şirket ağına bağlı olduğunda iki faktörlü kimlik doğrulamanın yoksayılması istendiği gibi, kullanıcının IP adresini kontrol eden akışlara veya politikalara sahip olunduğunda olası bir güvenlik riski oluşturur. İkinci bir güvenlik riski ise günlük dosyalarındaki ve kullanıcı oturumlarındaki IP adreslerinin artık güvenilir olmamasıdır. Herkes bu adresi taklit edebilir ve kullanıcının hesabının günlüğünde yer alan IP adresinden giriş yaptığı doğrulanamaz. Üçüncü bir risk ise bu başlığın bir outpost arkasındaki vekillik edilen uygulamaya iletilmesidir. Uygulama, IP adresine dayalı herhangi bir doğrulama, günlükleme, engelleme veya hız sınırlama işlemi yapabilir ve bu IP adresi isteyen herkes tarafından geçersiz kılınabilir. 2023.4.3 ve 2023.5.5 versiyonları bu sorun için bir yama içermektedir.