LONDON (IT BOLTWISE) – Eine Schwachstellenkette in FreeIPA erlaubt es einem anonymen Client, Kerberos-Identitäten in einem Verzeichnis anzulegen, die anschließend in der Administrationsgruppe landen. Auslöser ist eine zu weit gefasste ACI-Regel in FreeIPA, die zusammen mit einem Authentifizierungs-Bypass im 389-Directory-Server-Autorisierungsmodul die Zugriffskontrolle aushebelt. Die Publikation nennt dafür CVE-2026-76578 (CVSS 9.8) sowie eine zweite Komponente mit CVE-2026-76560 (7.5), die einzeln stark kontextabhängig ist. Parallel wurde eine weitere, unabhängige FreeIPA-Lücke mit CVE-2026-79678 beschrieben, die über idp-add potenziell sensible Umgebungswerte preisgeben könnte.
Hinter der FreeIPA-Schwachstelle steckt weniger ein einzelner „Magie-Exploit“ als eine ungünstige Kombination aus zwei Konfigurations- und Implementationsdetails, die zusammen die Identitätsgrenzen einer Linux-Domäne verschieben. FreeIPA fungiert als Identity-Management-Schicht: Es steuert, wer sich in einem Linux-Verbund anmelden darf, und hält Nutzer- und Service-Identitäten in einer 389-Directory-Server-Datenbank vor, die über LDAP bereitgestellt wird. Laut der Beschreibung wird der kritische Pfad dadurch möglich, dass ein Client, der noch nie authentifiziert war, eine Kerberos-Identität „eigener Wahl“ im Verzeichnis anlegen kann und anschließend trotz fehlender Login-Historie in eine Rolle mit administrativen Rechten einsortiert wird.
Technisch setzt die Kette bei einer FreeIPA-eigenen Zugriffskontrollregel an, einer ACI (Access Control Instruction). Diese Regel erlaubt einem Nutzer, sich selbst die Verwaltung eines Einmal-Passwort-Tokens (OTP) einzuräumen, ohne dafür bereits eingeloggt gewesen zu sein. Entscheidend ist dabei nicht nur die Tatsache, dass ein anonymer Client überhaupt Token-Einträge anlegen darf, sondern auch, dass die Regel nicht präzise einschränkt, welche weiteren Felder im gleichen LDAP-Objekt neben dem Token geschrieben werden dürfen. Erst das Zusammenspiel mit einem zweiten Problem im 389-Directory-Server-Autorisierungsmodell macht daraus eine echte Eskalation.
Der zweite Baustein betrifft die Logik „nur der authentifizierte Owner darf diesen Eintrag verändern“. Laut der Darstellung nutzt der 389-Directory-Server einen Regeltyp, der den Namen des Clients gegen einen gespeicherten Textwert vergleicht. Wenn der Client nie authentifiziert war, bleibt der Client-Name offenbar leer; im Vergleich entspricht das dann einem ebenfalls leer gespeicherten Owner-Feld. Damit kann ein anonymer Client den Besitz-Check faktisch passieren und gleichzeitig Kerberos-relevante Attribute wie Identitätsname und Passwort in den Eintrag schreiben. Im Ergebnis entsteht eine Kerberos-Identität, die in der Praxis als Administrator-Konto funktioniert, weil der Eintrag in der Administrationsgruppierung landet.
Red Hat ordnet das als CVE-2026-76578 ein und bewertet es als kritisch mit einem CVSS von 9,8, wobei die Einschätzung ausdrücklich als vorläufig gekennzeichnet wird. Die Directory-Server-Komponente erhält als CVE-2026-76560 eine Bewertung von 7,5; dort betont Red Hat zudem, dass der entsprechende Schutzmechanismus in einem Standardpaket von 389-ds möglicherweise nicht in der beschriebenen Form vorkommt. Genau hier liegt die Konstellation für „Reproduzierbarkeit auf einer Standardinstallation“: FreeIPA liefert offenbar eine Default-Regel aus, die die beschriebene Daten- und Vergleichsstruktur mitbringt, sodass die Schwachstellenkette ohne zusätzliche Sonderkonfiguration funktioniert. Red Hat gibt außerdem an, den Pfad zweimal auf einer default-konfigurierten Umgebung reproduziert zu haben, zuletzt auch auf einem System „ohne Zugang“ – also ohne klassische Vorarbeiten auf dem Ziel.
Die Einordnung wird durch den Hinweis auf frühere Lücken noch schärfer. Eine frühere Änderung zu CVE-2026-13097 habe zwar eine Namenskollision beim Kerberos-Teil blockiert, aber die grundlegende unauthenticated-writable Schwachstelle im Zugriffsteil nicht beseitigt. Dadurch lässt sich die Eskalation weiterhin erreichen, nur unter einem vom Angreifer gewählten Namen statt über die direkte Spiegelung des echten Administrators. Laut den Angaben berichtet die FreeIPA-Projektseite die Wirkung zusätzlich differenziert: Demnach soll der eingeschleuste Identitätsname nicht bereits existieren müssen; die frühere Fix-Änderung verhindere, dass vorhandene Konten übernommen werden; und die Methode könne als „Stepping Stone“ zu administrativen Privilegien dienen. Red Hat beschreibt das Ergebnis dagegen breiter als „genuine Administrator-group membership“ und „reusable administrator credentials“, und nennt auch, dass die Prüfung mit administrator-only Kommandos erfolgt sei, statt sich auf reine Exploit-Ausgaben zu verlassen.
Bemerkenswert ist parallel, dass Red Hat eine zweite, getrennte FreeIPA-Lücke offenlegt, die nicht zur obigen Verkettung gehört. Für diese Variante wird CVE-2026-79678 mit einer Bewertung von 8,1 genannt. Hier liegt das Problem im idp-add-Prozess: Das Kommando übergibt laut Beschreibung zwei vom Aufrufer bereitgestellte Werte (einen Organisationsnamen und eine Base-URL) an einen Python eval()-Aufruf, und diese Ausführung passiert bereits, bevor die Berechtigungsprüfung greifen soll, die idp-add nur für Identity-Provider-Administratoren freigibt. Red Hat beschreibt zwar, dass eine Pattern-Einschränkung Funktionen wie „Brackets“ blockiert und dadurch „no code execution“ möglich sei, jedoch bleiben zwei Angriffswege: Der Angreifer könne Umgebungsvariablen des Serverprozesses schrittweise über Fehlerantworten auslesen und außerdem Speicher über eine kurze arithmetische Ausdrucksform überlasten.
Welche praktische Relevanz das hat, hängt stark davon ab, wie FreeIPA in der jeweiligen Umgebung aufgesetzt wurde. Bei typischen Paketinstallationen, so die Darstellung, enthält das Prozessumfeld vor allem dokumentierte Pfade und Einstellungen. In Containerinstallationen sieht es anders aus: Das offizielle FreeIPA-Serverimage übernimmt häufig zunächst den Directory-Manager- und Administratorkennwortwert aus Umgebungsvariablen beim ersten Boot, und wenn diese Werte nach dem Setup noch im laufenden Prozessumfeld verbleiben, könnten sie zum Ziel von Ausleseversuchen werden. Für Administratoren ist damit klar: Nicht nur der Patch-Stand zählt, sondern auch die Bereinigung von Secrets nach dem Initialisierungsprozess. Außerdem bleibt offen, ob reine Updates im 389-Directory-Server die FreeIPA-Angriffskette schon stoppen, wenn die FreeIPA-Pakete selbst veraltet sind, und ebenso, ob und wie bereits erzeugte Identitäten nach dem Fix automatisch entfernt werden.
Die operative Konsequenz ist deshalb zweigleisig: Patchen und gleichzeitig das Risiko über Übergangsmaßnahmen senken. Red Hat liefert dafür unterschiedliche Fixpunkte, weil die Freigaben in verschiedenen Komponenten und zu verschiedenen Zeitpunkten landen: FreeIPA wird aus Projektseite mit Version 4.13.4 adressiert, wobei die Release Notes keine exakten Versionsgrenzen zur betroffenen Vergangenheit nennen. Für 389-ds-basierte Komponenten auf Red Hat Enterprise Linux und Red Hat Directory Server verweist Red Hat auf konkrete advisories, die in der Quelle zwischenzeitlich als „14 Advisories“ rund um einen bestimmten Veröffentlichungszeitraum auftauchen; dort wird explizit auch die Abdeckung weiterer 389-ds-Lücken betont. Für ipa-Pakete auf Red Hat Enterprise Linux nennt die Darstellung noch keinen Fixstand zur geprüften Zeit. Bis dann Pakete verfügbar sind, rät Red Hat für die Kette zu temporären Maßnahmen wie restriktivem Zugriff auf den LDAP-Dienst (typisch Ports 389 und 636) per Firewall oder Segmentierung und dazu, anonyme LDAP-Binds abzuschalten, sofern die eigenen Dienste keinen legitimen Bedarf daran haben.
Für den idp-add-Pfad gibt es hingegen keinen vergleichbar einfachen Schalter. Red Hat macht deutlich, dass keine Konfigurationsoption einen gewöhnlich authentifizierten Account vom betreffenden Codepfad fernhält; deshalb wird ein fixiertes Paket benötigt. Für Container-Setups lautet die pragmatische Hausaufgabe: Prüfen, ob das bei „first boot“ gesetzte Passwort noch in den Umgebungsvariablen des laufenden Serverprozesses vorhanden ist. Gleichzeitig fordert die Quelle implizit dazu auf, Detektion und Hygiene im Blick zu behalten: Weder die Advisories noch die Bugberichte liefern in der Darstellung klare Indikatoren oder Erkennungsregeln. Wer die Angriffsfläche reduzieren will, sollte deshalb nicht nur die Versionsstände kontrollieren, sondern auch die Verzeichnisinhalte auf neu geschaffene Kerberos-Identitäten und ungewöhnliche Zugehörigkeiten in Administratorgruppen prüfen – denn ob ein Patch schon bestehende „eingeschleuste“ Identitäten aufräumt, bleibt laut Darstellung eine offene Frage.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FreeIPA-Verkettung: Anonyme Clients landen in der Admin-Gruppe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FreeIPA-Verkettung: Anonyme Clients landen in der Admin-Gruppe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FreeIPA-Verkettung: Anonyme Clients landen in der Admin-Gruppe« bei Google Deutschland suchen, bei Bing oder Google News!