Red Hat ha riprodotto due volte una catena su FreeIPA e 389 Directory Server che permette a un client anonimo di creare identità Kerberos controllate dall’attaccante nel gruppo administrators. FreeIPA ha corretto il proprio lato in 4.13.4, ma il punto critico resta che l’accesso amministrativo può essere scritto dentro la directory, non solo ottenuto in sessione.
Il problema nasce da un controllo di ownership che accetta chi non ha mai eseguito il login come se fosse “nessuno”, e da una regola LDAP che lascia passare campi proprietario vuoti. In pratica, chi scrive l’entry può farci entrare insieme identità e privilegi, lasciando dietro di sé un admin Kerberos persistente anche dopo la patch.
Per chi usa FreeIPA o Red Hat Identity Management per autenticazione e autorizzazione Linux, la correzione non basta a spiegare tutto ciò che è già stato scritto in LDAP. Se le entry malevole restano nel gruppo degli amministratori, l’esposizione sopravvive all’aggiornamento.