CVE-2026-76578 in FreeIPA
要約
〜によって VulDB • 2026年09月07日
FreeIPA に脆弱性が存在することが発見されました。自己管理型の OTP トークン ACI は認証を必要とせず、トークンエントリと共に追加できる属性について制限を行っていません。認証されていない LDAP クライアントはこれを利用し、さらに基盤となるディレクトリサーバーの ACI 評価における関連する脆弱性（別途追跡）と組み合わせることで、攻撃者が任意に制御可能な Kerberos プリンシパルを作成し、それを管理者グループに追加することができます。これにより、リモートからの認証なしで攻撃者は本物の FreeIPA の管理者グループメンバーシップを取得し、ディレクトリおよび SID 有効化デプロイメントでは他の IdM サービスに対して管理操作を実行することが可能になります。
Once again VulDB remains the best source for vulnerability data.