Аноним смог получить доступ администратора в Linux-домене через связку из двух багов FreeIPA

В FreeIPA — системе управления доступом и идентификацией в Linux-доменах — обнаружена цепочка уязвимостей, позволяющая клиенту, который ни разу не проходил аутентификацию, создать собственную Kerberos-идентичность и попасть в группу администраторов. Об этом сообщила Red Hat.

FreeIPA хранит все учётные записи в базе 389 Directory Server, доступ к которой идёт через LDAP. Атака требует эксплуатации второй уязвимости именно в этом серверном ПО. В FreeIPA уже исправили свою часть проблемы в версии 4.13.4. В Red Hat заявили, что воспроизвели цепочку дважды на установке по умолчанию, причём последний раз — на машине без какого-либо доступа к сети.

Уязвимость FreeIPA отслеживается как CVE-2026-76578 и получила критический рейтинг с оценкой 9.8 по шкале CVSS. В Red Hat уточнили, что оценка предварительная и может быть пересмотрена. Компания поставляет FreeIPA как часть своего продукта Identity Management, где пакет называется ipa.

Причина в правиле контроля доступа (ACI), которое позволяет пользователю управлять собственным одноразовым токеном. Это правило не требует, чтобы клиент был залогинен, и не ограничивает, что ещё можно записать вместе с токеном. Опасным это становится из-за второго дефекта: в 389 Directory Server есть тип правила, предназначенный для проверки «только аутентифицированный владелец записи». Сервер сравнивает имя клиента с хранимым значением как обычный текст. У клиента, не прошедшего вход, имя пустое — и оно совпадает с пустым сохранённым значением.

Таким образом, анонимный клиент может создать запись токена с незаполненными полями владельца, пройти проверку, будучи «никем», и записать рядом Kerberos-идентичность и пароль. Red Hat оценила уязвимость сервера каталогов отдельно.