Authelia vulnerable a una autenticación omitida con una URI de solicitud malformada en nginx

El impacto principal de esta vulnerabilidad radica en la capacidad de un atacante para eludir completamente la autenticación en Authelia. Esto significa que un usuario no autorizado podría acceder a recursos protegidos sin necesidad de credenciales válidas. En un entorno donde Authelia se utiliza como un punto de autenticación centralizado, este bypass podría permitir el acceso a múltiples aplicaciones y servicios. La vulnerabilidad se explota mediante la creación de solicitudes HTTP con rutas URI malformadas que engañan al módulo ngxhttpauth_request, impidiendo que Authelia valide correctamente la identidad del usuario. Aunque el problema se centra principalmente en Nginx, la descripción sugiere que otros servidores proxy podrían ser susceptibles si permiten rutas URI malformadas.

Organizations utilizing Authelia v4 in conjunction with nginx's ngxhttpauthrequestmodule are at risk. This includes environments relying on Authelia for single sign-on (SSO) or multi-factor authentication (MFA) for web applications. Shared hosting environments where nginx configuration is managed by the hosting provider are also potentially vulnerable, as they may be using the affected configuration without explicit awareness.

• linux / server: Monitor nginx access logs for unusual HTTP request patterns, particularly those containing malformed URI paths. Use journalctl -u nginx to check for errors related to authentication requests.

 grep -i 'auth_request' /var/log/nginx/access.log | grep -i 'malformed'

• generic web: Use curl to test authentication endpoints with crafted requests containing unusual characters or URI structures. Examine response headers for unexpected behavior.

curl -v --url 'https://your-authelia-protected-site/some-protected-resource?param=';

1. 2021-12-20Disclosure

   disclosure

1. Reservado2021-05-12
2. Publicada2021-12-20
3. Modificada2026-03-13
4. EPSS actualizado2026-04-02

La solución principal para mitigar esta vulnerabilidad es actualizar Authelia a la versión 4.29.3 o posterior. Esta versión incluye una corrección directa para el problema. Si la actualización a 4.29.3 no es inmediatamente posible debido a problemas de compatibilidad, se puede solicitar un parche específico para versiones anteriores (como 4.25.1) al equipo de Authelia. Como medida temporal, se recomienda revisar la configuración de Nginx para asegurar que las rutas URI sean validadas correctamente y que no se permitan caracteres o formatos inesperados. Monitorear los registros de acceso de Nginx en busca de solicitudes HTTP con rutas URI sospechosas también puede ayudar a detectar intentos de explotación.