Грешката засягаше акаунти с 52-символни потребителски имена и имаше няколко предварителни условия, които трябваше да бъдат изпълнени, за да може да бъде използвана.

Okta е отстранила грешка при заобикаляне на удостоверяването, която засяга тези с дълги потребителски имена или работодатели с многословни имена на домейни.

Дупката в сигурността можеше да позволи на киберпрестъпниците да преминат през делегираното удостоверяване на Okta AD/LDAP (DelAuth), като използват само потребителско име. Тя обаче можеше да бъде използвана само ако бяха изпълнени редица условия, като едно от тези условия беше потребителско име, което има 52 или повече символа.

Макар и необичайно, някои хора предпочитат да използват имейл адресите си като потребителски имена, поради което възможността за потребителско име с 52 символа не е напълно изключена.

Други условия, които е трябвало да бъдат изпълнени, са били ако потребителят се е удостоверил преди това, създавайки кеш на удостоверяването; и ако кешът е бил използван първи, което може да се случи, „ако AD/LDAP агентът не работи или не може да бъде достигнат, например поради голям мрежов трафик“, според компанията за удостоверяване в своята консултация за дефекта.

Уязвимостта е открита от Okta на 30 октомври, след като се е крила в системата в продължение на три месеца. Макар че оттогава тя е отстранена, компанията препоръчва на клиентите си да проверят своите регистри за всякакви странни опити за удостоверяване, датиращи от 23 юли.

Okta също така препоръча на клиентите да приложат като минимум многофакторно удостоверяване (MFA), тъй като то не е било приложено като част от предварителните условия за експлоатация.