„`html
Zusammenfassung
CVE-2026-11861 beschreibt eine kritische Authentifizierungslücke in FreeIPA, die in Umgebungen mit Active Directory (AD)-Vertrauensbeziehungen auftritt. Angreifer können durch Manipulation der Ticket Granting Service (TGS)-Anfragen die PAC-Validierung umgehen und sich als beliebige Benutzer authentifizieren. Der CVSS-Score von 9,6 unterstreicht die kritische Natur dieser Schwachstelle.
Betroffene Systeme
Die Schwachstelle betrifft FreeIPA-Installationen mit konfigurierten AD-Vertrauensbeziehungen. Besonders gefährdet sind Umgebungen, die den FreeIPA-Portal, SMB-Server und LDAP-Directory über Kerberos-basierte Authentifizierung nutzen. Bislang kein Patch verfügbar (Stand der Veröffentlichung).
Technische Details
Die Verwundbarkeit liegt in der unzureichenden Validierung von Privilege Attribute Certificates (PAC) durch FreeIPA-Services. Das PAC ist ein kritisches Sicherheitselement im Kerberos-Protokoll und enthält Autorisierungsinformationen. FreeIPA validiert nicht ordnungsgemäß die Authentizität des PAC bei TGS-Anfragen, wodurch Angreifer den Client-Namen (sname) manipulieren können.
Ein authentifizierter AD-Benutzer kann eine speziell handwerkliche TGS-Anfrage erstellen, die einen anderen Client impersoniert. Diese fehlende Validierung ermöglicht sowohl Authentifizierung als auch Privilegieeskalation innerhalb der FreeIPA-Domäne. Der Angriff erfordert Netzwerkzugriff und ein gültiges AD-Benutzerkonto.
Empfohlene Massnahmen
- Sofortmassnahmen: Überwachung verdächtiger TGS-Anfragen und Benutzer-Impersonationen implementieren
- Zugriffskontrolle: AD-Vertrauensbeziehungen auf notwendige Konten beschränken
- Monitoring: Kerberos-Authentifizierungsfehler und ungewöhnliche PAC-Anomalien überwachen
- Updates: Regelmässig auf Sicherheitspatches prüfen
- Segmentierung: FreeIPA-Services von kritischen Systemen netzwerkseitig isolieren
Bewertung
Diese Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar. Der fehlende Patch und die einfache Ausnutzbarkeit erfordern sofortige GegenmaĂźnahmen. Unternehmen mit FreeIPA-AD-Integrationen sollten ihre Sicherheitsrichtlinien ĂĽberprĂĽfen und Mitigationsstrategien implementieren.
„`