Связка уязвимостей в FreeIPA позволяет анонимно создать учётную запись администратора

В FreeIPA обнаружена критическая связка уязвимостей, позволяющая клиенту без предварительной аутентификации создать в каталоге Kerberos-идентификатор с выбранным именем и получить права администратора. Red Hat отслеживает основную проблему как CVE-2026-76578 и предварительно оценивает её в 9,8 балла по CVSS.

Атака складывается из двух ошибок. В FreeIPA есть стандартное правило контроля доступа, разрешающее пользователю управлять собственным одноразовым паролем. Однако это правило не требует, чтобы клиент уже вошёл в систему, и не ограничивает другие атрибуты, которые можно записать вместе с токеном.

Вторая ошибка находится в механизме контроля доступа 389 Directory Server — CVE-2026-76560 с оценкой 7,5 балла. Правило, предназначенное для проверки аутентифицированного владельца записи, сравнивает имя клиента со значением в записи как обычный текст. У неаутентифицированного клиента имя пустое; если оставить поле владельца пустым, проверка проходит. В результате атакующий может создать запись токена и одновременно задать для неё Kerberos-идентификатор и пароль.

По данным Red Hat, эта комбинация работает на установке FreeIPA с настройками по умолчанию. Компания воспроизвела её на стандартном контейнерном образе FreeIPA 4.13.1 и проверила полученные права с помощью команд, доступных только администраторам. В сообщениях об уязвимостях не говорится об их применении в реальных атаках.

Ранее исправленная CVE-2026-13097 позволяла выдать новую сервисную идентичность за уже существующую привилегированную учётную запись из-за особенностей проверки уникальности Kerberos-имён. Её исправление предотвратило захват существующих аккаунтов, но не закрыло неаутентифицированную запись, лежащую в основе нынешней цепочки. Теперь атакующий должен создать новое имя, но, как указывает Red Hat, это приводит к тому же практическому результату — появлению многоразовых учётных данных администратора.

Для конфигураций с идентификаторами безопасности в стиле Windows атакующий также может получить Kerberos-билет с данными авторизации. Это расширяет доступ к HTTP-службам сервера и Dogtag — встроенному в FreeIPA центру сертификации.

Отдельно Red Hat раскрыла ещё одну уязвимость FreeIPA — CVE-2026-79678, оценённую в 8,1 балла. Команда idp-add передаёт заданные пользователем название организации и базовый URL в Python eval() до проверки прав администратора поставщиков идентификации. Ограничение на ввод не позволяет вызвать функцию, поэтому выполнение кода, по оценке Red Hat, невозможно. Тем не менее любой пользователь сервера может по сообщениям об ошибках считывать переменные окружения процесса и вызвать исчерпание памяти коротким арифметическим выражением.

В обычной пакетной установке переменные окружения содержат документированные пути и параметры, но контейнерные развёртывания несут дополнительный риск. Официальный образ сервера FreeIPA при первом запуске часто получает через окружение пароли Directory Manager и администратора; они могут быть раскрыты, если останутся в окружении после настройки.

Проект FreeIPA выпустил версию 4.13.4, в которой исправлены обе уязвимости FreeIPA. Для 389 Directory Server следует установить обновление, выпущенное для используемой версии системы или Red Hat Directory Server.