Сборка мусора в 389 Directory Server: обход проверок SELFDN ACI через пустой bind DN (CVE-2026-76560)
В 389 Directory Server обнаружена критическая уязвимость, позволяющая анонимному LDAP-клиенту обойти проверки прав доступа на основе SELFDN ACI. Проблема затрагивает Red Hat Directory Server и Red Hat Enterprise Linux. Уязвимость получила оценку CVSS 7.5 (HIGH).
Подробности
Проблема заключается в ошибке в компоненте SELFDN ACI (Access Control Instruction) — механизме, предназначенном для ограничения операций над записями, где DN аутентифицированного пользователя совпадает с DN целевой записи. Специфика уязвимости в том, что оценщик правил SELFDN некорректно сопоставляет пустой bind DN анонимного LDAP-клиента с пустым значением атрибута, хранящимся в записи. Это означает, что злоумышленник без аутентификации может отправить запрос с пустым DN и успешно пройти проверку, которая по замыслу администратора должна требовать совпадения с конкретной аутентифицированной личностью. В результате анонимный клиент получает возможность выполнять операции добавления или изменения записей каталога, нарушая политику безопасности. Затронутые продукты: - Red Hat Directory Server 11, 11.7 E4S for RHEL 8; - Red Hat Directory Server 12, 12.2 E4S for RHEL 9; - Red Hat Enterprise Linux 7 Extended Lifecycle Support, 8, 8.4, 8.8, 9, 9.2, 9.4, 9.6 и 10.0 Extended Update Support (включая специализированные версии). Уязвимость имеет базовую оценку CVSS 7.5 (High).Что делать
Рекомендуем администраторам выполнить следующие шаги: 1. Немедленно проверить наличие обновлений от Red Hat для используемых версий 389-ds-base и Red Hat Directory Server. Вендор уже выпустил исправления, закрывающие эту проблему. 2. До установки патча, если нет возможности быстро обновить систему, рекомендуется проанализировать все существующие правила ACI с использованием SELFDN и временно изменить их логику, если это допустимо, для блокировки анонимных операций записи. 3. Проверить журналы аудита LDAP на предмет подозрительных анонимных запросов на модификацию или добавление записей, особенно в периоды до применения обновлений. 4. Ограничить сетевой доступ к LDAP-портам сервера только доверенными сегментами, если это возможно. Итог Уязвимость CVE-2026-76560 опасна тем, что позволяет обойти разграничение доступа на уровне каталога без каких-либо учетных данных. Это может привести к несанкционированному изменению данных, эскалации привилегий в смежных системах и компрометации инфраструктуры. Обновление до исправленных версий является обязательным и неотложным действием.Источник: CVE Project (cvelistV5)