Giám đốc An ninh Thông tin SlowMist 23pds đã đăng rằng Okta cho phép bất kỳ tên người dùng nào dài hơn 52 ký tự bỏ qua đăng nhập! Theo thông báo của nhà cung cấp phần mềm quản lý quyền truy cập và nhận dạng Okta, vào ngày 30 tháng 10, một lỗ hổng đã được phát hiện trong nội bộ khi tạo khóa bộ đệm cho AD/LDAP DelAuth. Thuật toán Bcrypt được sử dụng để tạo khóa bộ đệm, trong đó chúng tôi băm chuỗi kết hợp userId + tên người dùng + mật khẩu. Trong một số điều kiện nhất định, điều này có thể cho phép người dùng chỉ xác thực bằng cách cung cấp cho tên người dùng khóa được lưu trong bộ nhớ đệm từ lần xác thực thành công trước đó. Tiền đề của lỗ hổng này là mỗi lần tạo khóa bộ đệm cho người dùng, tên người dùng phải bằng hoặc vượt quá 52 ký tự. Các sản phẩm và phiên bản bị ảnh hưởng là Okta AD/LDAP DelAuth kể từ ngày 23 tháng 7 năm 2024 và lỗ hổng bảo mật đã được khắc phục trong môi trường sản xuất của Okta vào ngày 30 tháng 10 năm 2024.