„`html
Zusammenfassung
CVE-2026-11770 ist eine kritische LDAP-Injection-Schwachstelle im 389 Directory Server. Sie ermöglicht es unauthentifizierten Angreifern, manipulierte LDAP-Suchfilter in die CleanAllRUV-Replikationsoperation einzuschleusen und damit sensitive Konfigurationsdaten auszulesen.
Betroffene Systeme
- 389 Directory Server (verschiedene Versionen)
- RHEL Directory Server Deployments
- Alle Systeme mit aktiver CleanAllRUV-Replikationsfunktion
Technische Details
Angriffsvektor: Die Schwachstelle liegt in der Extended Operation „CleanAllRUV“ zur Replikationsstatus-Ãœberprüfung. Der Handler führt LDAP-Suchen gegen die cn=config Basis aus, ohne eingehende Filter-Parameter ausreichend zu validieren.
Exploitation: Ein Angreifer kann speziell konstruierte LDAP-Filter über das Netzwerk einschleusen. Da die Operation mit erhöhten Replikations-Plugin-Privilegen ausgeführt wird, können folgende Daten extrahiert werden:
- Replikations-Bind-DNs
- Passwort-Speicherformate
- Weitere Konfigurationsmetadaten aus cn=config
Die Abfrage funktioniert über Boolean Blind-LDAP-Injection: Der Angreifer erhält nur True/False-Antworten, kann dadurch aber iterativ sensitive Werte extrahieren.
Empfohlene Massnahmen
- Sofort: Netzwerksegmentierung implementieren. CleanAllRUV Extended Operation nur aus vertrauenswürdigen Netzwerken zulassen
- Monitoring: LDAP-Queries gegen cn=config auf verdächtige Filter-Patterns prüfen
- Authentifizierung: Zugriff auf Extended Operations auf authentifizierte Benutzer beschränken
- Input-Validierung: Alle eingehenden LDAP-Filter-Parameter strict validieren
- Workaround: CleanAllRUV-Operation deaktivieren, falls nicht erforderlich
- Update: Patch abhängig von Verfügbarkeit zeitnah einspielen
Bewertung
CVSS-Score: 7.5 (High)
Die Schwachstelle ermöglicht Informationsdisclosure kritischer Authentifizierungsdaten ohne Authentifizierung. Der fehlende Patch erhöht das Risiko erheblich. Organisationen mit 389 Directory Server sollten sofort Mitigationsmassnahmen implementieren.
„`