CVE-2023-39522
Açıklama
goauthentik açık kaynaklı bir Kimlik Sağlayıcıdır. Tanımlama aşaması içeren bir kurtarma akışı kullanan etkilenen sürümlerde, bir saldırgan bir kullanıcı adının mevcut olup olmadığını belirleyebilir. Bundan yalnızca kurtarma akışı ile yapılandırılmış kurulumlar etkilenmektedir. Yukarıda açıklanan kurtarma akışına sahip bir sistemde kullanıcı hesabı olan herkesin kullanıcı adı/e-postasının varlığının açığa çıkması riski vardır. Bir kullanıcı mevcut olmadığında net bir mesaj gösterildiğinden, bir saldırgan kurtarma akışını kullanarak kullanıcıların varlığını kolayca numaralandırabilir ve kontrol edebilir. Yapılandırmaya bağlı olarak bu işlem kullanıcı adı, e-posta veya her ikisiyle de yapılabilir. Bu sorun 2023.5.6 ve 2023.6.2 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu sorun için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- goauthentik authentik2023.5.6, 2023.6.2 ya da sonraki bir sürüm
- @goauthentik/api2023.6.2, 2023.5.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | v < 2023.5.6, 2023.6.0 ≤ v < 2023.6.2 | 2023.5.6, 2023.6.2 |
| @goauthentik/apinpm | 2023.6.0 ≤ v < 2023.6.2, v < 2023.5.6 | 2023.6.2, 2023.5.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.