CVE-2026-76578
Açıklama
FreeIPA içerisinde bir açık bulundu. Kendi yönetilen OTP belirteci ACI'si kimlik doğrulaması gerektirmemektedir ve belirteç girişiyle birlikte hangi özniteliklerin eklenebileceğini kısıtlamamaktadır. Kimliği doğrulanmamış bir LDAP istemcisi, bunu temel dizin sunucusunun ACI değerlendirmesindeki ilgili bir açıkla (ayrı olarak takip edilmektedir) birleştirerek, saldırgan tarafından kontrol edilen rastgele bir Kerberos principal'ı oluşturabilir ve bunun yöneticiler grubuna eklenmesini sağlayabilir. Bu durum, uzaktaki kimliği doğrulanmamış bir saldırganın gerçek FreeIPA yönetici grubu üyeliği elde etmesine; dizine karşı ve SID etkinleştirilmiş dağıtımlarda diğer IdM servislerine karşı idari işlemler gerçekleştirmesine olanak tanır.
Nasıl düzeltilir
- access.redhat.com/errata/RHSA-2026:70564
- access.redhat.com/errata/RHSA-2026:72279
- access.redhat.com/errata/RHSA-2026:82935
- access.redhat.com/errata/RHSA-2026:83083
- access.redhat.com/errata/RHSA-2026:83084
- access.redhat.com/errata/RHSA-2026:83085
- access.redhat.com/errata/RHSA-2026:83460
- access.redhat.com/errata/RHSA-2026:83461
- access.redhat.com/errata/RHSA-2026:89836
- access.redhat.com/errata/RHSA-2026:93071
- access.redhat.com/errata/RHSA-2026:93452
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Red Hat Enterprise Linux 10 | Aralık belirtilmemiş | — |
| Red Hat Red Hat Enterprise Linux 10.0 Extended Update Support | Aralık belirtilmemiş | — |
| Red Hat Red Hat Enterprise Linux 7 Extended Lifecycle Support | Aralık belirtilmemiş | — |
| enterprise_linux 8 | Aralık belirtilmemiş | — |
| rhel_aus 8.4 | Aralık belirtilmemiş | — |
| rhel_aus 8.6 | Aralık belirtilmemiş | — |
| rhel_e4s 8.8 | Aralık belirtilmemiş | — |
| enterprise_linux 9 | Aralık belirtilmemiş | — |
| rhel_e4s 9.2 | Aralık belirtilmemiş | — |
| rhel_e4s 9.4 | Aralık belirtilmemiş | — |
| rhel_eus 9.6 | Aralık belirtilmemiş | — |
| Red Hat Red Hat Enterprise Linux 8 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.