„`html
Zusammenfassung
Eine Sicherheitslücke in FreeIPA ermöglicht es unauthentifizierten Angreifern, über den `/ipa/i18n_messages` Endpoint eine Denial-of-Service (DoS) Attacke durchzuführen. Durch das Senden von extrem großen Request-Body-Daten kann die Anwendung zu exzessivem Speicherverbrauch gezwungen werden, was zu Speichererschöpfung und Systemausfällen führt.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Versionen von FreeIPA. Der genaue Versionsbereich ist noch nicht vollständig dokumentiert. Administratoren sollten ihre Deployment-Versionen überprüfen und bei ihren FreeIPA-Anbietern nach spezifischen Versionsinformationen nachfragen.
Technische Details
Der `/ipa/i18n_messages` Endpoint wurde nicht ausreichend vor DoS-Attacken geschützt. Der vulnerable Code verarbeitet eingehende HTTP-Requests ohne angemessene Größenbegrenzungen oder Rate-Limiting-Mechanismen. Ein Angreifer kann durch wiederholte oder einzelne Anfragen mit massiven Payloads den verfügbaren Speicher erschöpfen.
Angriffsvektor: Network (CVSS-Vektor: CVSS:3.1/AV:N/AU:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)
Der Zugriff erfolgt über das Netzwerk ohne Authentifizierung. Die Komplexität ist niedrig, weshalb auch wenig technische Kompetenz erforderlich ist.
Empfohlene Massnahmen
- Sofortmassnahmen: Implementieren Sie auf Firewall-Ebene Request-Size-Limits fĂĽr den `/ipa/i18n_messages` Endpoint
- Rate-Limiting: Aktivieren Sie Rate-Limiting und Request-Throttling fĂĽr den betroffenen Endpoint
- Monitoring: Überwachen Sie Speicherauslastung und abnormale Netzwerkaktivität
- Patches: Warten Sie auf offizielle Sicherheits-Patches und installieren Sie diese unverzĂĽglich
- WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur Blockierung ĂĽberdimensionierter Requests
Bewertung
Mit einem CVSS-Score von 7.5 und dem Schweregrad „High“ stellt diese SicherheitslĂĽcke ein erhebliches Risiko dar. Die fehlende Authentifizierung und die einfache Ausnutzbarkeit machen sie besonders kritisch. Da noch kein offizieller Patch verfĂĽgbar ist, sind Administratoren auf Workarounds angewiesen. Eine schnelle Behebung wird dringend empfohlen.
„`