CVE-2025-59044 in himmelblau
Riassunto
di VulDB • 04/08/2026
Himmelblau è una suite di interoperabilità per Microsoft Azure Entra ID e Intune. In Himmelblau 0.9.x, i GID numerici (Group IDs) dei gruppi Entra ID vengono derivati dal nome visualizzato del gruppo quando la configurazione `id_attr_map = name` è impostata in himmelblau.conf (configurazione predefinita). Poiché Microsoft Entra ID consente l'esistenza di più gruppi con lo stesso `displayName` (inclusi i gruppi personali/O365 creati dagli utenti finali, a seconda delle policy del tenant), diversi directory group possono collassare nello stesso GID numerico su Linux. Questo problema si applica solo alle versioni di Himmelblau dalla 0.9.0 alla 0.9.22. Qualsiasi risorsa o servizio su un host joined con Himmelblau che impone l'autorizzazione basata sul GID numerico (file/directory, ecc.) può diventare inavvertitamente accessibile a un utente che crea o si unisce a un diverso gruppo Entra/O365 che per caso condivide lo stesso `displayName` di un security group privilegiato. Gli utenti dovrebbero eseguire l'upgrade alla versione 0.9.23, oppure alla 1.0.0 o successive, per ricevere la patch. La mappatura da Group a GID ora utilizza gli object ID (GUID) di Entra ID e non presenta collisioni tra gruppi con lo stesso nome. Come soluzione alternativa, utilizzare il hardening delle policy del tenant per limitare la creazione arbitraria di gruppi fino a quando tutti gli host non saranno stati patchati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.