authentik 对多个 API 端点的授权不足（CVE-2024-42490）
CVE编号
CVE-2024-42490利用情况
暂无补丁情况
N/A披露时间
2024-08-23漏洞描述
authentik是一个开源的身份提供商。有几个API端点可以在用户没有正确进行身份验证/授权的情况下被访问。受此影响的API端点主要是/api/v3/crypto/certificatekeypairs/<uuid>/view_certificate/、/api/v3/crypto/certificatekeypairs/<uuid>/view_private_key/和/api/v3/.../used_by/。请注意，所有受影响的API端点都需要知道对象的ID，尤其是证书，这对于没有特权的用户是不可访问的。此外，大多数对象的ID都是UUIDv4，这意味着它们不容易猜测或枚举。authentik 2024.4.4、2024.6.4和2024.8.0版本修复了这个问题。解决建议
"将组件 goauthentik.io 升级至 2024.6.4 及以上版本""将组件 goauthentik.io 升级至 2024.4.4 及以上版本"- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论