CVE-2023-36456
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W wersjach przed 2023.4.3 i 2023.5.5, authentik nie weryfikuje źródła nagłówków X-Forwarded-For i X-Real-IP, co może prowadzić do fałszowania adresów IP w logach oraz w aplikacjach zależnych. Tylko konfiguracje authentik dostępne bezpośrednio dla użytkowników są podatne na tę lukę.
Ocena ryzyka
Podatność ta stwarza ryzyko, że polityki oparte na adresie IP użytkownika mogą być omijane, co może prowadzić do nieautoryzowanego dostępu. Dodatkowo, logi i sesje użytkowników mogą być niewiarygodne, co utrudnia audyt i monitorowanie.
Rekomendacja
Zaleca się aktualizację do wersji 2023.4.3 lub 2023.5.5, które zawierają poprawkę dla tej luki. Należy również rozważyć dodatkowe środki zabezpieczające, takie jak weryfikacja źródła nagłówków w konfiguracji serwera.
Inne podatności w authentik
Zobacz wszystkie- CVE-2026-72537Wysokie
Podatność w Authentik do wersji 2026.5.6 umożliwia eskalację uprawnień. Atakujący z tokenem SCIM o ograniczonym zakresie może przejąć dowolne konto użytkownika, w tym superużytkownika, poprzez utworzenie użytkownika SCIM o nazwie zgodnej z istniejącym lokalnym użytkownikiem. Funkcja importu użytkowników SCIM przejmuje istniejące konta bez weryfikacji granic zakresu.
- CVE-2026-72534Wysokie
Podatność w Authentik do wersji 2026.5.6 umożliwia eskalację uprawnień. Atakujący z tokenem SCIM o ograniczonym zakresie może uzyskać uprawnienia superużytkownika poprzez utworzenie grupy SCIM o nazwie zgodnej z istniejącą grupą administratorów. Funkcja importu grup SCIM przejmuje istniejące grupy i zastępuje ich członkostwo bez weryfikacji zakresu źródłowego względem grupy docelowej.
- CVE-2026-57580Krytyczne
authentik przed wersjami 2026.2.6 i 2026.5.5 zawiera podatność w konfiguracji SAML Source z trybem dopasowania użytkownika USERNAME_LINK lub EMAIL_LINK. Atakujący może wstawić komentarz XML do NameID, co prowadzi do przejęcia konta ofiary.
- CVE-2026-49448Krytyczne
Podatność w authentik (dostawca tożsamości) przed wersjami 2025.12.6, 2026.2.4 i 2026.5.1 pozwala na ominięcie etapu źródłowego (Source stage) poprzez wysłanie pustego żądania POST.
- CVE-2026-42849Krytyczne
Podatność XSS w komponencie AutosubmitStage w authentik (dostawca tożsamości open-source) przed wersjami 2025.12.5 i 2026.2.3, umożliwiająca atakującemu wstrzyknięcie złośliwego skryptu.
- CVE-2026-61574Wysokie
authentik przed wersjami 2026.2.6 i 2026.5.5 udostępnia listę wszystkich skonfigurowanych punktów końcowych Remote Access Control każdemu uwierzytelnionemu użytkownikowi, niezależnie od uprawnień do aplikacji. Odpowiedź zawiera ustawienia połączeń, które mogą zawierać przechowywane poświadczenia. Każdy uwierzytelniony użytkownik może odczytać wszystkie punkty końcowe wraz z hostem i poświadczeniami oraz otworzyć połączenie do punktu końcowego należącego do innej aplikacji, co ujawnia poświadczenia dla zarządzanych celów RDP, SSH i VNC oraz daje interaktywny dostęp do systemów, do których użytkownik nie był autoryzowany.
- CVE-2026-55106Średnie
authentik to dostawca tożsamości open-source. Przed wersjami 2026.2.6 i 2026.5.5, akcja diagnostyczna w API źródła LDAP nie egzekwuje filtra autoryzacji odczytu na poziomie obiektu używanego przez resztę API. Każda strona, która może dotrzeć do API, w tym nieuwierzytelniony klient, może wywołać akcję diagnostyczną przeciwko skonfigurowanemu źródłu LDAP. Serwer następnie łączy się z nadrzędnym katalogiem przy użyciu skonfigurowanych poświadczeń bind źródła i zwraca ograniczony zestaw wpisów katalogu. Odpowiedź ujawnia wyróżnione nazwy tych wpisów oraz nazwy atrybutów na nich obecnych, ujawniając strukturę katalogu, konwencje nazewnictwa oraz istnienie określonych kont i grup, ale nie wartości atrybutów. Wdrożenia bez skonfigurowanego źródła LDAP nie są dotknięte. Problem został naprawiony w wersjach 2026.2.6 i 2026.5.5.
- CVE-2026-54730Wysokie
authentik przed wersjami 2026.2.6 i 2026.5.5 w przedsiębiorczych etapach Google Chrome device-trust kontynuuje przepływ bez potwierdzenia, że atestacja urządzenia poza pasmem faktycznie się odbyła. Atakujący, który może dotrzeć do takiego etapu, może pominąć iframe weryfikacyjny i uwierzytelnić się z urządzenia, które nigdy nie zostało zweryfikowane. Tam, gdzie zaufanie do urządzenia jest jedynym dodatkowym czynnikiem, ochrona jest całkowicie pominięta.
- CVE-2026-49443Wysokie
authentik to dostawca tożsamości open-source. Przed wersjami 2025.12.6, 2026.2.4 i 2026.5.1, atakujący z możliwością zmiany połączenia źródłowego i kontem w jednym ze skonfigurowanych źródeł może zalogować się na dowolne konto.
- CVE-2026-47201Wysokie
authentik, dostawca tożsamości open-source, w wersjach przed 2025.12.5, 2026.2.3 i 2026.5.1, jest podatny na XML Signature Wrapping w punkcie końcowym SAML Source ACS podczas walidacji odpowiedzi SAML od dostawcy tożsamości. Atakujący z dowolnym kontem u źródłowego IdP może wykorzystać ponownie ważne podpisane oświadczenie do uwierzytelnienia się jako inny sfederowany użytkownik.
Oryginalny opis (angielski, źródło NVD)
authentik is an open-source Identity Provider. Prior to versions 2023.4.3 and 2023.5.5, authentik does not verify the source of the X-Forwarded-For and X-Real-IP headers, both in the Python code and the go code. Only authentik setups that are directly accessible by users without a reverse proxy are susceptible to this. Possible spoofing of IP addresses in logs, downstream applications proxied by (built in) outpost, IP bypassing in custom flows if used. This poses a possible security risk when someone has flows or policies that check the user's IP address, e.g. when they want to ignore the user's 2 factor authentication when the user is connected to the company network. A second security risk is that the IP addresses in the logfiles and user sessions are not reliable anymore. Anybody can spoof this address and one cannot verify that the user has logged in from the IP address that is in their account's log. A third risk is that this header is passed on to the proxied application behind an outpost. The application may do any kind of verification, logging, blocking or rate limiting based on the IP address, and this IP address can be overridden by anybody that want to. Versions 2023.4.3 and 2023.5.5 contain a patch for this issue.