„`html
Zusammenfassung
CVE-2026-73197 beschreibt eine Denial-of-Service (DoS) Schwachstelle in FreeIPA, die es unauthentizierten Angreifern ermöglicht, den Dienst durch gezielt manipulierte HTTP POST-Anfragen zu ĂĽberlasten. Die Vulnerabilität wird mit dem Schweregrad „High“ (CVSS 7.5) eingestuft.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von FreeIPA, einem Open-Source Identity Management System. Systeme, auf denen die Migration-Funktionalität aktiviert ist, sind besonders gefährdet. Administratoren sollten überprüfen, welche FreeIPA-Versionen in ihrer Infrastruktur eingesetzt werden.
Technische Details
Der Angriff nutzt den `/ipa/migration/migration.py` Endpunkt aus. Ein Remote-Attacker kann überdimensionierte Form-POST-Anfragen an diesen Endpunkt senden, ohne sich authentifizieren zu müssen. Der Migration-Handler verarbeitet diese Anfragen und laden die attacker-kontrollierten Request-Bodies vollständig in den Arbeitsspeicher. Dies führt zu:
- Erhöhte Speicherauslastung des Servers
- Degradation der Request-Verarbeitungsgeschwindigkeit
- Potentielle Service-Unterbrechungen oder vollständiger Ausfall
Durch wiederholte Anfragen mit groĂźen Payloads kann ein Attacker einen klassischen Memory-Exhaustion DoS durchfĂĽhren.
Empfohlene Massnahmen
- Implementieren Sie Rate-Limiting auf dem `/ipa/migration/` Endpunkt
- Konfigurieren Sie Web Application Firewalls (WAF) zur Erkennung abnormaler POST-Anfragegrößen
- Beschränken Sie die maximale Request-Größe im HTTP-Server (nginx/Apache)
- Überwachen Sie Speicherauslastung und Request-Muster auf verdächtige Aktivitäten
- Priorisieren Sie Updates, sobald ein Patch verfĂĽgbar ist
- Deaktivieren Sie die Migration-Funktionalität, falls nicht benötigt
Bewertung
CVSS Score: 7.5 (High)
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Nein
Patch Status: Noch nicht verfĂĽgbar
Die fehlende Authentifizierung und die einfache Exploitierbarkeit machen diese Vulnerabilität kritisch für öffentlich zugängliche FreeIPA-Instanzen.
„`