„`html
Zusammenfassung
CVE-2026-13097 beschreibt eine kritische Privilege-Escalation-Schwachstelle in FreeIPA mit einem CVSS-Score von 9.1. Die Lücke ermöglicht es Benutzern mit LDAP-Schreibrechten, gefälschte Service Principal Namen zu erstellen und damit privilegierte Kerberos-Service Tickets zu erlangen. Dies kann zu einer vollständigen Domain-Kompromittierung führen.
Betroffene Systeme
Die Schwachstelle betrifft FreeIPA-Installationen, die den 389-ds Directory Server verwenden. Betroffen sind alle Versionen, für die bisher kein Patch verfügbar ist. Systeme mit LDAP-Verzeichnisdiensten in Unternehmensumgebungen sind besonders gefährdet.
Technische Details
Das Sicherheitsproblem liegt in der unzureichenden Validierung von Kerberos Principal Name (KPN) Attributen im 389-ds Directory Server. Der Mechanismus zur Durchsetzung der Eindeutigkeit berücksichtigt nicht äquivalente Darstellungen desselben Principal Names. Angreifer können diese Schwäche ausnutzen, indem sie alternative KPN-Formate verwenden, um Service Principals zu erstellen, die bestehenden privilegierten Principals entsprechen.
Der Angriffsvektor ist netzwerkgestützt und erfordert gültige LDAP-Schreibberechtigungen. Nach erfolgreichem Exploit können Angreifer Kerberos-Service Tickets für sensible Dienste (z.B. LDAP, HTTP, Host Services) ausstellen und damit Dienste oder Systeme als privilegierter Service impersonieren.
Empfohlene Massnahmen
- Zugriffskontrolle: Begrenzen Sie LDAP-Schreibrechte auf notwendige administrative Konten
- Monitoring: Überwachen Sie verdächtige Kerberos Ticket-Anfragen und neue Service Principals
- Validierung: Implementieren Sie zusätzliche Kontrollen zur Principal Name Validierung
- Patch-Management: Warten Sie auf verfĂĽgbare Security Updates und testen diese sofort
- Segmentierung: Isolieren Sie kritische Verzeichnisserver in separaten Netzwerksegmenten
Bewertung
Der CVSS-Score von 9.1 und der kritische Schweregrad rechtfertigen sofortige Aufmerksamkeit. Die fehlende Patch-VerfĂĽgbarkeit erschwert die Risikominderung erheblich. Organisationen sollten intensive Zugriffskontroll-Reviews durchfĂĽhren und kompensatorische SicherheitsmaĂźnahmen implementieren bis ein Patch verfĂĽgbar ist.
„`