CVE-2026-48794

Authelia, bir web portalı aracılığıyla uygulamalar için iki faktörlü kimlik doğrulama ve tek oturum açma (SSO) sağlayan açık kaynaklı bir kimlik doğrulama ve yetkilendirme sunucusudur. 4.36.0 ile 4.39.19 arasındaki sürümlerde, çok spesifik uç durumlarda alan adlarının kanonikleştirilmemesi nedeniyle, bir istekle eşleşmesi gereken erişim kontrol kuralı atlanabilir. Güvenlik sorununa yol açabilecek spesifik koşullar şunlardır: 1. Saldırının hedef aldığı belirli kaynağın forwarded authorization entegrasyonunu kullanıyor olması gerekir; 2. İstenen alan adının, bir oturum alan adına kıyasla iki ek segmente sahip olması gerekir, örneğin `a.b.example.com` istenirken oturum alan adının `example.com` olması; 3. Erişim kontrol kurallarının, her ikisi de `*.b.example.com` ve `*.example.com` gibi kesin olmayan alan adı eşleşmeleri (örneğin joker karakterler, kullanıcı adı eşleşmeleri, grup eşleşmeleri) içeren iki ayrı kural belirtmiş olması gerekir; 4. Kuralların, en spesifik alan adından en az spesifik alan adına doğru sıralanmış olması gerekir; 5. İkinci kuralın birinci kuraldan daha izin verici olması gerekir; 6. Saldırganın özellikle daha spesifik alan adı için bir URL istemesi ve ikinci kısmın bir veya daha fazla büyük harf içermesi (örneğin `https://a.B.example.com`) ve başka hiçbir segmentin büyük harf içermemesi gerekir; 7. Kullanılan entegrasyonun Envoy ExtAuthz entegrasyonu olmaması gerekir; ve 8. Proxy'nin, ilgili ana bilgisayar adını ilgili yetkilendirme uç noktasına göndermeden önce ilgili başlıkta kanonikleştirmemiş olması gerekir. Bu sorunun oluşmasına ve bir `bypass` kuralının eşleşmesine neden olan yapılandırma türü uzun süredir şiddetle önerilmemektedir. Esasen tamamen bypass edilmesi gereken ana bilgisayarlar, proxy tarafından yetkilendirme işleyicileriyle kontrol edilerek güvence altına alınmamalıdır. Yamayı almak için 4.39.20 sürümüne yükseltin.