Пять уязвимостей в веб-консолях для AD и OpenLDAP: как хелпдеск может получить права администратора

Делегирование рутинных операций с каталогом — создание учётных записей, сброс паролей, управление группами, отключение уволенных сотрудников — давно стало стандартной практикой. Однако реализация такой веб-консоли с REST API таит в себе целый класс неочевидных угроз: если хелпдеск получает слишком широкие полномочия или недостаточно строгую проверку действий, он может случайно или намеренно повысить собственные права. Автор открытого проекта Axia разобрал пять мест, где «очевидная» реализация обернулась уязвимостью или багом.

Подробности

Первый и наиболее показательный сценарий — операция переноса организационного подразделения (OU). Некорректная обработка этой функции позволяет сотруднику хелпдеска сбросить пароль администратора: перемещая объекты между OU, оператор фактически получает возможность влиять на учётные записи, которые ему трогать не разрешено. Это классический пример ошибки в модели разграничения прав, когда проверка выполняется на уровне интерфейса, а не на уровне каталога. Второй класс проблем связан с атакой LDAP pass-back. Если консоль позволяет указывать параметры подключения к LDAP-серверу (например, хост или порт) и при этом не валидирует их должным образом, злоумышленник может перенаправить аутентификацию на подконтрольный ему сервер и перехватить учётные данные. Особенно опасен такой сценарий в сочетании с недостаточной проверкой TLS и отсутствием строгой привязки к доверенным endpoint'ам. Остальные три случая, описанные автором, касаются типичных ошибок делегированного администрирования: недостаточной проверки прав на уровне отдельных операций, отсутствия надёжного журналирования действий и пробелов в логике работы с группами и членством. Все они объединены одной причиной — попыткой реализовать разграничение доступа «поверх» каталога, вместо того чтобы опираться на его штатные механизмы и минимально необходимые привилегии сервисной учётной записи.

Что делать

Разработчикам и администраторам, внедряющим подобные консоли, стоит придерживаться нескольких принципов. Во-первых, проверять права на каждое действие непосредственно в каталоге, а не полагаться на фильтрацию в UI или API. Во-вторых, строго валидировать все параметры подключения к LDAP, использовать TLS с проверкой сертификатов и белый список доверенных хостов, чтобы исключить pass-back-атаки. В-третьих, обеспечивать полное и неизменяемое журналирование операций — каждое действие оператора хелпдеска должно оставлять след. Наконец, сервисная учётная запись консоли должна обладать минимально необходимыми правами, а критичные операции (например, работа с привилегированными группами) — требовать дополнительного подтверждения или MFA. Итог: делегирование администрирования каталога оправдано, но только при условии, что разграничение прав реализовано на уровне самого AD/OpenLDAP, а не в обход него. Разбор Axia — наглядное напоминание, что удобство хелпдеска не должно достигаться ценой возможности повысить свои привилегии.

Источник: Хабр — Системное администрирование