„`html
Zusammenfassung
CVE-2026-14474 ist eine High-Severity-Schwachstelle im LDAP Sudo Provider von SSSD (System Security Services Daemon). Die Anfälligkeit ermöglicht authentifizierten Angreifern mit Schreibzugriff auf LDAP-Subtrees die Injektion bösartiger sudoRole-Objekte, um Root-Privilegien auf allen SSSD-verwalteten Hosts zu erlangen. Der CVSS-Score von 8.8 indiziert eine kritische Bedrohung für betroffene Infrastrukturen.
Betroffene Systeme
Die Schwachstelle betrifft Systeme, die SSSD mit aktiviertem LDAP Sudo Provider nutzen, insbesondere:
- Red Hat Enterprise Linux (RHEL)
- CentOS und CentOS Stream
- Fedora
- Debian/Ubuntu mit SSSD-Installation
- Weitere Linux-Distributionen mit verwundbarem SSSD
Technische Details
Die Schwachstelle resultiert aus unzureichender Input-Validierung in SSSDś LDAP-Suchmechanismus. Wenn die Option ldap_sudo_search_base nicht explizit konfiguriert ist, durchsucht SSSD den gesamten LDAP-Verzeichnisbaum nach sudoRole-Objekten. Ein authentifizierter Angreifer mit Schreibzugriff auf beliebige LDAP-Subtrees kann malicious sudoRole-Einträge injizieren. Durch die Manipulation dieser Objekte können Angreifer Sudo-Konfigurationen erstellen, die allen SSSD-enrolled Hosts Root-Zugriff gewähren.
Der Angriffsvektor ist netzwerkbasiert und erfordert vorangegangene Authentifizierung sowie Schreibrechte im LDAP-Verzeichnis.
Empfohlene Massnahmen
- Sofortig: Explizite Konfiguration von
ldap_sudo_search_basein sssd.conf durchführen, um die Suchanfrage auf spezifische Container zu limitieren - LDAP-Zugriffskontrolle überprüfen und Schreibrechte minimieren
- Regelmäßige LDAP-Audits zur Erkennung suspekter sudoRole-Objekte implementieren
- SSSD-Instanzen monitoren und Logs analysieren
- Sicherheits-Updates sobald verfügbar einspielen
Bewertung
CVSS Score: 8.8 (High)
Angriffsvektor: Network
Patch-Status: Nicht verfügbar
Diese Schwachstelle erfordert sofortige Aufmerksamkeit und Implementierung der Mitigationsmaßnahmen zur Reduktion des Angriffsrisikos.
„`