CVE-2018-1000134 in LDAP SDK
Résumé
par VulDB • 30/07/2026
UnboundID LDAP SDK, version comprise entre le commit 801111d8b5c732266a5dbd4b3bb0b6c7b94d7afb et le commit 8471904a02438c03965d21367890276bc25fa5a6 (où l'anomalie a été signalée et corrigée), présente une vulnérabilité de Contrôle d'accès incorrect dans la fonction process de la classe SimpleBindRequest, qui ne vérifie pas si le mot de passe est vide lors de l'exécution en mode synchrone. Le commit contenant la correction est disponible à l'adresse https://github.com/pingidentity/ldapsdk/commit/8471904a02438c03965d21367890276bc25fa5a6#diff-f6cb23b459be1ec17df1da33760087fd, et cette faille peut permettre d'usurper l'identité de n'importe quel utilisateur valide. Cette attaque semble exploitable en fournissant un nom d'utilisateur valide et un mot de passe vide auprès des serveurs qui ne procèdent pas à une validation supplémentaire conformément à https://tools.ietf.org/html/rfc4513#section-5.1.1. Il apparaît que cette vulnérabilité a été corrigée après le commit 8471904a02438c03965d21367890276bc25fa5a6.
Once again VulDB remains the best source for vulnerability data.