🟠 CVE-2026-35563: High Luecke in Apache Directory_Ldap_Api

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-35563 betrifft die LDAP-Client-Implementierung in Version 2.1.7 der Apache Directory LDAP API. Die Vulnerabilität ermöglicht Server-Spoofing durch unzureichende Hostname-Verifikation des TLS-Zertifikats. Mit einem CVSS-Score von 8.5 wird die Sicherheitslücke als „High“ eingestuft und erfordert unverzügliche Maßnahmen.

Betroffene Systeme

Betroffen ist die Apache Directory LDAP API in Version 2.1.7 und möglicherweise frühere Versionen mit vergleichbarer Implementierung. Alle Systeme, die diese Komponente zur LDAP-Authentifizierung und -Kommunikation einsetzen, sind gefährdet.

Technische Details

Die Schwachstelle liegt in der unvollständigen Verifizierung der Server-Identität während der TLS-Handshake-Phase. Während die LDAP-Client-Implementierung die Zertifikatskette gegen eine vertrauenswürdige Certificate Authority validiert, erfolgt keine Endpoint-Identification. Dies ermöglicht es einem Angreifer, ein für einen anderen Host ausgestelltes, aber vertrauenswürdiges Zertifikat zu präsentieren und als legitimer LDAP-Server akzeptiert zu werden.

Die Exploitation erfordert Man-in-the-Middle (MITM)-Fähigkeiten auf der Netzwerkebene. Der Angreifer muss in der Lage sein, den Datenverkehr umzuleiten und ein Zertifikat vorzulegen, das im konfigurierten Trust Store des Clients vorhanden ist.

Empfohlene Maßnahmen

• Sofortiges Update: Aktualisieren Sie die Apache Directory LDAP API auf die gepatchte Version, in welcher die Hostname-Verifikation implementiert wurde
• Netzwerksicherheit: Implementieren Sie zusätzliche MITM-Schutzmaßnahmen wie Certificate Pinning oder Network Segmentation
• Monitoring: Überwachen Sie LDAP-Verbindungen auf anomale Zertifikate
• Inventur: Identifizieren Sie alle Systeme mit betroffener LDAP-API-Version

Bewertung

CVSS 8.5 (High): Die Vulnerabilität ermöglicht vollständige Authentifizierungsumgehung und Datenabfang. Das Risiko ist erheblich, insbesondere in unternehmensweiten LDAP-Infrastrukturen. Ein Patch ist verfügbar und sollte priorisiert werden.

„`