authentik vulnerable a una omisión de autenticación de contraseña a través de la cabecera HTTP X-Forwarded-For

La explotación exitosa de esta vulnerabilidad permite a un atacante iniciar sesión en cualquier cuenta de authentik con un nombre de usuario o dirección de correo electrónico conocido, sin necesidad de la contraseña correcta. Esto se logra mediante la inyección de un encabezado X-Forwarded-For malicioso con una dirección IP no válida (por ejemplo, 'a'). El impacto es significativo, ya que compromete la confidencialidad y la integridad de los datos de los usuarios, así como la seguridad general del sistema. La vulnerabilidad es particularmente preocupante porque requiere que la instancia de authentik confíe en el encabezado X-Forwarded-For, una configuración que, aunque no es predeterminada, es común en entornos con proxies inversos o balanceadores de carga. La falta de validación adecuada de la dirección IP en el encabezado X-Forwarded-For es la causa raíz de la vulnerabilidad.

Organizations utilizing authentik as an identity provider, particularly those deployed behind reverse proxies or load balancers, are at risk. Environments where the X-Forwarded-For header is trusted without proper validation are especially vulnerable. Shared hosting environments using authentik are also at increased risk due to potential header manipulation.

• linux / server:

journalctl -u authentik | grep -i "X-Forwarded-For"

• generic web:

curl -I <authentik_url> | grep X-Forwarded-For

• generic web: Inspect access logs for requests containing unusual or malformed X-Forwarded-For headers.

1. 2024-09-27Disclosure

   disclosure

1. Reservado2024-09-17
2. Publicada2024-09-27
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-47070 es actualizar a la versión 2024.8.3 o posterior de authentik. Si la actualización inmediata no es posible debido a problemas de compatibilidad o tiempo de inactividad, se recomienda deshabilitar la confianza en el encabezado X-Forwarded-For en la configuración de authentik, si no es esencial para la funcionalidad del sistema. Otra medida de mitigación es implementar una validación estricta de la dirección IP en el encabezado X-Forwarded-For en el proxy inverso o balanceador de carga que se encuentra frente a la instancia de authentik. Se recomienda monitorear los registros de autenticación en busca de intentos de inicio de sesión sospechosos, especialmente aquellos que involucran direcciones IP no válidas en el encabezado X-Forwarded-For. Después de la actualización, confirme la corrección verificando que el encabezado X-Forwarded-For no permite el bypass de la autenticación.