Критическая уязвимость в 389 Directory Server: повышение привилегий до Directory Manager (CVE-2026-18922)
В 389 Directory Server обнаружена критическая уязвимость (CVSS 9.8), позволяющая атакующему повысить привилегии до уровня администратора каталога Directory Manager. Проблема связана с ошибкой обработки SASL-аутентификации и затрагивает Red Hat Directory Server и Red Hat Enterprise Linux. Требуется немедленное обновление.
Подробности
Проблема заключается в ошибке обработки состояния подключения при использовании механизма SASL PLAIN. Согласно описанию CVE, при неудачной попытке аутентификации SASL PLAIN в качестве cn=Directory Manager с неверным паролем, в Cyrus SASL auxiliary property сохраняется «устаревшая» учетная запись. Если затем на том же соединении выполнить успешный анонимный SASL ANONYMOUS bind или обычный bind от имени непривилегированного пользователя, сервер ошибочно назначает соединению привилегии Directory Manager, основываясь на сохраненных ранее данных. CVSS-оценка уязвимости составляет 9.8 из 10 (критический уровень). Атака не требует аутентификации и может быть выполнена удаленно, что делает ее особенно опасной для публично доступных служб каталогов. Под действие уязвимости попадают следующие продукты Red Hat: - Red Hat Directory Server версий 11 и 12, включая версии для Extended Update Support (EUS); - Red Hat Enterprise Linux версий 7 (ELS), 8, 8.4 (AMC), 8.8 (TUS, SAP), 9, 9.2 (SAP), 9.4 (SAP), 9.6 (EUS) и 10.0 (EUS).Что делать
Рекомендуем немедленно выполнить следующие действия: 1. Обновить пакеты 389-ds-base до последних версий, содержащих исправление. Для RHEL и Red Hat Directory Server используйте команды `yum update` или `dnf update`, предварительно проверив наличие обновлений в репозиториях Red Hat. 2. Если обновление невозможно применить немедленно, в качестве временной меры рекомендуется ограничить сетевой доступ к портам LDAP/LDAPS (по умолчанию 389 и 636), разрешив подключения только для доверенных хостов. Также следует отключить неиспользуемые SASL-механизмы, если это допускается конфигурацией. 3. После обновления проверьте журналы аудита на предмет подозрительных попыток аутентификации, особенно сочетаний неудачных SASL PLAIN bind и последующих анонимных или пользовательских подключений с одного IP-адреса. 4. Для сред с высокими требованиями безопасности рекомендуем временно запретить анонимный доступ (SASL ANONYMOUS) до полного развертывания патча. Итог CVE-2026-18922 — критическая уязвимость, позволяющая полностью скомпрометировать службу каталогов без аутентификации. Учитывая важность Directory Server для централизованного управления доступом, риски выхода из строя всей ИТ-инфраструктуры крайне высоки. Компания SafeKit настоятельно рекомендует провести обновление в кратчайшие сроки и усилить мониторинг подозрительной активности на серверах каталогов.Источник: CVE Project (cvelistV5)