CVE-2024-42490
Açıklama
authentik açık kaynaklı bir Kimlik Sağlayıcıdır (Identity Provider). Çeşitli API uç noktalarına, doğru kimlik doğrulama/yetkilendirme olmaksızın kullanıcılar tarafından erişilebilmektedir. Bundan etkilenen ana API uç noktaları /api/v3/crypto/certificatekeypairs/<uuid>/view_certificate/, /api/v3/crypto/certificatekeypairs/<uuid>/view_private_key/ ve /api/v3/.../used_by/ şeklindedir. Etkilenen tüm API uç noktalarının bir nesnenin kimliğini (ID) bilmeyi gerektirdiği, bunun da özellikle sertifikalar için yetkisiz bir kullanıcı tarafından erişilebilir olmadığı unutulmamalıdır. Ek olarak, çoğu nesne için kullanılan kimlikler UUIDv4'tür, yani kolayca tahmin edilemez veya sıralanamazlar. authentik 2024.4.4, 2024.6.4 ve 2024.8.0 sürümleri bu sorunu gidermektedir.
Nasıl düzeltilir
- goauthentik authentik2024.4.4, 2024.6.4 ya da sonraki bir sürüm
- goauthentik.io2024.6.4, 2024.4.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goauthentik authentik | v < 2024.4.4, 2024.6.0 ≤ v < 2024.6.4 | 2024.4.4, 2024.6.4 |
| goauthentik.ioGo | 2024.6.0-rc1 ≤ v < 2024.6.4, v < 2024.4.4, Aralık belirtilmemiş | 2024.6.4, 2024.4.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.