Red Hat: FreeIPA-Fehlerserie gewährt anonymen Benutzern Administratorrechte

FreeIPA, das Open-Source-Identitätsmanagementsystem, das bestimmt, wer sich in einer Linux-Domäne anmelden darf, enthält eine Fehlerkette, die es einem Client, der sich nie angemeldet hat, ermöglichen kann, eine eigene Kerberos-Identität zu erstellen und in der Administratorengruppe zu landen, so Red Hat. FreeIPA speichert alle Identitäten in einer 389 Directory Server-Datenbank, die über LDAP abgerufen wird. Der Angriff benötigt außerdem einen zweiten Fehler in dieser Datenbanksoftware. Red Hat verfolgt den FreeIPA-Teil als CVE-2026-76578 und stuft ihn mit einem CVSS-Score von 9,8 als kritisch ein, weist jedoch darauf hin, dass der Score vorläufig ist und überprüft werden muss. Das FreeIPA-Projekt hat seine Seite bereits in Version 4.13.4 behoben.

Das erste Problem ist eine Zugriffskontrollregel namens ACI, die FreeIPA mitliefert. Diese Regel erlaubt einem Benutzer, sein eigenes Einmalpasswort-Token zu verwalten, verlangt aber nicht, dass der Client angemeldet ist, und begrenzt nicht, was sonst noch neben dem Token geschrieben werden darf. Allein wäre das nicht genug. Der zweite Fehler liegt im 389 Directory Server. Dessen Zugriffskontroll-Engine hat einen Regeltyp, der besagen soll, dass nur der authentifizierte Eigentümer eines Eintrags diesen ändern darf. Sie vergleicht den Namen des Clients mit einem gespeicherten Wert als Klartext. Ein Client, der nicht angemeldet ist, hat einen leeren Namen, und dieser leere Wert stimmt mit einem leeren gespeicherten Wert überein. Dadurch kann ein anonymer Client einen Token-Eintrag mit leeren Eigentumsfeldern erstellen, die Eigentumsprüfung bestehen, indem er niemand ist, und eine Kerberos-Identität und ein Passwort daneben schreiben.

Red Hat bewertet den Directory-Server-Fehler CVE-2026-76560 mit 7,5 und sagt, dass Red Hat Directory Server standardmäßig keine Regel dieser Form ausliefert. Daher ist der Fehler allein nur dort relevant, wo eine Bereitstellung eine solche Regel geschrieben hat. FreeIPA ist genau eine solche Bereitstellung, da seine standardmäßig ausgelieferte Regel diese Form hat. Red Hat reproduzierte die vollständige Kette zweimal auf einer Standardinstallation, zuletzt auf einem Rechner ohne jeglichen Zugriff, und reproduzierte den Directory-Server-Fehler auch auf einem einfachen 389-ds-Build ohne FreeIPA-Teile. Ein Kontrolltest mit einem nicht-leeren Wert wurde korrekt abgelehnt. Dies platziert den Fehler in der Zugriffskontroll-Engine und nicht in etwas, das FreeIPA tut. Die zuerst an Red Hat gemeldete Technik imitierte das echte Admin-Konto, indem sie einen Kerberos-Namen erstellte, der damit übereinstimmte. Ein früherer Fix für CVE-2026-13097 blockierte diese Kollision, ließ aber den zugrunde liegenden nicht authentifizierten Schreibzugriff bestehen. Der Angriff funktioniert nun unter einem Namen, den der Angreifer stattdessen wählt, was laut Red Hat zum gleichen praktischen Ergebnis führt. Dieser frühere Fehler, der in FreeIPA 4.13.3 behoben wurde, war ein anderes Problem: Die Prüfung, dass Kerberos-Namen eindeutig sind, erlaubte nicht verschiedene Schreibweisen desselben Namens, sodass ein Benutzer mit Schreibzugriff eine Dienstidentität erstellen konnte, die eine bestehende privilegierte Identität imitierte. Die beiden Projekte beschreiben das Ergebnis unterschiedlich. Red Hat nennt es echte Mitgliedschaft in der Administratorengruppe und wiederverwendbare Administrator-Anmeldeinformationen. Das FreeIPA-Projekt erklärt, dass die injizierte Identität nicht bereits existieren darf, dass der CVE-2026-13097-Fix verhindert, dass bestehende Konten übernommen werden, und dass der Angriff als Sprungbrett für administrative Privilegien verwendet werden kann. Red Hat sagt, es habe die Kette gegen ein Standard-FreeIPA-Container-Image mit Version 4.13.1 ausgeführt und die Ergebnisse mit standardmäßigen Administrator-Befehlen überprüft, anstatt der Exploit-Ausgabe zu vertrauen. Keine der Advisories oder Fehlerberichte beschreibt, dass der Fehler in einem echten Angriff verwendet wurde. Für Bereitstellungen, die Windows-ähnliche Sicherheitskennungen verwenden, sagt Red Hat, dass der Angreifer auch ein Kerberos-Ticket mit Autorisierungsdaten erhalten kann, was den Zugriff auf die HTTP- und Dogtag-Dienste des Servers erweitert, wobei Dogtag die eingebaute Zertifizierungsstelle von FreeIPA ist.

Separat hat Red Hat CVE-2026-79678 offengelegt, einen wichtigen Fehler mit einem Score von 8,1, der nichts mit der Kette zu tun hat. Der Befehl idp-add übergibt zwei vom Aufrufer gelieferte Werte, einen Organisationsnamen und eine Basis-URL, an einen Python-eval()-Aufruf. Dieser Aufruf läuft vor der Berechtigungsprüfung, die den Befehl auf Identitätsprovider-Administratoren beschränken soll, sodass jedes Konto auf dem Server ihn unabhängig von den Berechtigungen erreichen kann. Der Aufruf ist durch ein Muster begrenzt, das Klammern verbietet, was verhindert, dass eine Funktion aufgerufen wird, und Red Hat sagt, dass keine Codeausführung möglich ist. Was ein Angreifer tun kann, ist, die Umgebungsvariablen des Serverprozesses einzeln zu lesen, indem er den Fehler beobachtet, den der Server zurückgibt, und den Speicher des Servers mit einem kurzen arithmetischen Ausdruck aufbrauchen. Wie sehr das zählt, hängt davon ab, wie FreeIPA installiert wurde. Bei einer normalen paketbasierten Installation enthält die Prozessumgebung nur dokumentierte Pfade und Einstellungen. Beim offiziellen FreeIPA-Server-Image werden die Directory-Manager- und Administrator-Passwörter oft beim ersten Start als Umgebungsvariablen übernommen, und diese Passwörter könnten offengelegt werden, wenn sie nach Abschluss der Einrichtung noch vorhanden sind. Red Hat dankt Gia Bui von Calif für die Meldung der FreeIPA-Kette und des Directory-Server-Fehlers und dankt Calif in Zusammenarbeit mit Anthropic für den idp-add-Fehler.

Der Fix ist an drei Stellen zu drei verschiedenen Zeiten eingetroffen. Für FreeIPA vom Projekt installieren Sie FreeIPA 4.13.4, das beide FreeIPA-Fehler behebt, aber die Versionshinweise tragen kein Datum und sagen nicht, welche früheren Versionen betroffen sind. Für 389-ds-base auf Red Hat Enterprise Linux und Red Hat Directory Server verwenden Sie das Advisory für die Version; vierzehn Advisories wurden am 8. September zwischen 01:56 und 05:07 UTC veröffentlicht, und RHSA-2026:64785 deckt Red Hat Enterprise Linux 10 mit 389-ds-base-3.2.0-10.el10_2 ab. Dieses Advisory ist als kritisch eingestuft und deckt vier weitere 389-ds-Fehler neben diesem ab. Für ipa-Pakete auf Red Hat Enterprise Linux war zum Zeitpunkt der Überprüfung am 8. September keine feste Version oder kein Advisory aufgeführt. Auf Fedora war der Tracker an diesem Datum als ON_QA markiert. Kein Advisory für einfaches Red Hat Enterprise Linux 9 erschien in der Liste der vierzehn, aber das war, was der Fehlereintrag am 8. September zeigte, keine Aussage, dass die Version keinen Fix bekommt. Bis ein festes Paket verfügbar ist, gibt Red Hat zwei vorübergehende Schritte für die Kette. Beschränken Sie erstens den Zugriff auf den LDAP-Dienst, normalerweise Ports 389 und 636, auf vertrauenswürdige Hosts mithilfe von Firewall-Regeln oder Netzwerksegmentierung. Zweitens blockiert das Deaktivieren anonymer LDAP-Bindungen diesen spezifischen Pfad, aber überprüfen Sie zuerst, ob nichts anderes in Ihrer Bereitstellung sie benötigt. Für den idp-add-Fehler gibt es keine solche Option: Red Hat sagt, keine Konfigurationseinstellung hält ein gewöhnliches authentifiziertes Konto von diesem Code fern, und ein festes Paket ist erforderlich. Es fügt hinzu, dass jeder, der Containerinstallationen ausführt, überprüfen sollte, dass das beim ersten Start festgelegte Passwort nicht mehr in der laufenden Prozessumgebung vorhanden ist. Das veröffentlichte Material lässt zwei Fragen unbeantwortet: Weder Red Hat noch das FreeIPA-Projekt sagen, ob 389-ds-Updates allein den FreeIPA-Angriff auf einem Server stoppen, dessen ipa-Pakete noch veraltet sind, und keiner sagt, ob das Anwenden eines Fixes eine zuvor vom Angreifer erstellte Identität entfernt oder wonach ein Administrator suchen sollte, um das herauszufinden. Die Advisories und Fehlerberichte veröffentlichen keine Erkennungsregeln oder Indikatoren. Für Website-Besitzer und IT-Teams: Der AEU-Group-Dienst AEU Hosting verwaltet WordPress-Hosting-Umgebungen Ende-zu-Ende, aber Organisationen, die FreeIPA selbst betreiben, müssen die Anbieter-Updates direkt anwenden.