Критическая уязвимость CVE-2026-19843: инъекция команд в 389-ds-base через LDAP DN
В 389-ds-base обнаружена уязвимость командной инъекции (CVE-2026-19843, CVSS 8.4) в LDAP-редакторе Cockpit 389 Console. Атакующий с привилегиями на создание или переименование записей LDAP может выполнить произвольные команды с правами root на хосте каталога. Требуется немедленное обновление затронутых версий Red Hat Directory Server.
Подробности
Уязвимость присутствует в LDAP-редакторе Cockpit 389 Console. При просмотре записи каталога компонент формирует команду ldapsearch, встраивая distinguished name (DN) LDAP-записи в строку shell-команды без корректного экранирования. Пользователь LDAP, обладающий делегированными правами на создание или переименование записей, может создать вредоносный DN, содержащий shell-метасимволы. Администратор, открывающий такую запись в 389 Console, запускает встроенную команду на сервере каталога. Уязвимость классифицирована как CWE-78 «Improper Neutralization of Special Elements used in an OS Command». Оценка CVSS v3 составляет 8.4 (HIGH). Затронутые продукты: - Red Hat Red Hat Directory Server 11.7 E4S for RHEL 8; 11.9 for RHEL 8 - Red Hat Red Hat Directory Server 12.2 E4S for RHEL 9; 12.4 E4S for RHEL 9; 12.6 EUS for RHEL 9 - Red Hat Red Hat Directory Server 13.0 EUS for RHEL 10; 13.2 for RHEL 10 - Red Hat Red Hat Directory Server 11; 12 (все версии) - Red Hat Red Hat Enterprise Linux 6, 7, 8, 9, 10 Эксплуатация требует наличия у атакующего легитимных учётных данных LDAP с привилегиями на изменение записей. Наличие такого вектора делает уязвимость опасной для сред с делегированным управлением каталогом.Что делать
Рекомендуемые меры реагирования: 1. **Обновление ПО**. Установите обновлённые пакеты 389-ds-base, предоставленные Red Hat, для соответствующих версий Red Hat Directory Server. Следите за бюллетенями безопасности Red Hat. 2. **Ограничение привилегий**. Минимизируйте количество пользователей LDAP с правами на создание и переименование записей. Проверьте существующие делегированные права. 3. **Аудит DN-записей**. Проведите аудит существующих записей каталога на наличие подозрительных символов (`;`, `|`, `&`, `$`, `>`, `<`, обратные кавычки) в атрибутах DN. 4. **Мониторинг**. Включите журналирование действий Cockpit 389 Console и отслеживайте необычные процессы, запускаемые от имени root на серверах каталогов. 5. **Сегментация**. Если обновление невозможно в краткосрочной перспективе, ограничьте сетевой доступ к интерфейсу Cockpit. **Итог**: CVE-2026-19843 представляет собой серьёзную угрозу для инфраструктур на базе Red Hat Directory Server с делегированным управлением. Учитывая высокий показатель CVSS и потенциальное получение root-прав, организациям необходимо оперативно применить обновления безопасности и провести ревизию привилегий LDAP-пользователей.Источник: CVE Project (cvelistV5)