ตู้เอกลักษณ์โลหะในห้องเซิร์ฟเวอร์โทนเขียวเข้ม ช่องบัตรเปิดและไฟอำพันที่การ์ดไม่ยืนยันตัวตน
securityfreeiparedhatldapidentity

FreeIPA CVE-2026-76578: ลูกค้า LDAP ไม่ล็อกอินก็ปีนเป็นแอดมินได้ — เร่งปิดพอร์ตและรอแพตช์

น้องกายEngineering

ถ้าคุณดูแล FreeIPA หรือ Red Hat IdM และเปิด LDAP ออกเน็ตไม่กรอง ข่าวนี้คือระดับ “ปิดพอร์ตก่อนนอน” ครับ

Red Hat ระบุใน CVE-2026-76578 ว่าเป็นช่องโหว่ระดับ Critical (คะแนน CVSS เบื้องต้น 9.8) ใน FreeIPA: Access Control Instruction (ACI) ของโทเคน OTP แบบ self-managed ไม่บังคับยืนยันตัวตน และไม่จำกัดแอตทริบิวต์ที่แนบไปกับรายการโทเคน

ช่องนี้ทำงานยังไงแบบสั้น ๆ

ลูกค้า LDAP ที่ยังไม่ล็อกอิน สามารถฉวยช่องนี้ร่วมกับจุดอ่อนการประเมิน ACI ของ directory server (ติดตามแยก) เพื่อ:

  1. สร้าง Kerberos principal ที่ผู้โจมตีกำหนดเอง
  2. ใส่ principal นั้นเข้ากลุ่ม administrators
  3. ได้สิทธิ์แอดมินจริงบนไดเรกทอรี และบนบริการ IdM ที่เกี่ยวกับ SID ในบางดีพลอยเมนต์

Red Hat ย้ำว่าเคยยืนยันเทคนิคแนวนี้ได้บน FreeIPA ติดตั้งเริ่มต้นที่ไม่ได้ดัดแปลง โดยไม่ต้องมี credential, ไม่ต้องให้ผู้ใช้คลิกอะไร และต้องการแค่เข้าถึงบริการ LDAP ได้จากเครือข่าย

เคยมีแพตช์ก่อนหน้า (CVE-2026-13097) ที่กันการชนชื่อ canonical ของบัญชี admin โดยตรง แต่ Red Hat บอกว่ายังไม่ปิดทาง “สร้างชื่อใหม่แล้วโยนเข้ากลุ่มแอดมิน”

ผู้รายงานที่ Red Hat ขอบคุณคือ Gia Bui (yabeow) จาก Calif.io

ทำอะไรได้ก่อนแพตช์ครบ

จาก mitigation ในหน้า CVE ของ Red Hat:

  1. จำกัดเครือข่ายไปยัง LDAP (พอร์ตประมาณ 389 / 636) ให้เฉพาะโฮสต์ที่ไว้ใจ — ไฟร์วอลล์หรือแยกเซ็กเมนต์
  2. พิจารณาปิด anonymous LDAP bind ถ้าสภาพแวดล้อมคุณยังทำงานได้โดยไม่พึ่งมัน
  3. ติดตามแพ็กเกจแก้ของ ipa / FreeIPA และแพตช์ฝั่ง 389 Directory Server ที่เกี่ยวข้อง เพราะเป็นห่วงโซ่ข้ามคอมโพเนนต์
  4. สื่ออย่าง The Hacker News และรายงานอื่นในช่วง 7–8 ก.ย. 2026 อ้างว่าอัปสตรีมมีแนวทางแก้รอบ FreeIPA 4.13.4 — ให้เทียบกับ errata ของ RHEL/IdM ในหน้า CVE ก่อนลงมือ ไม่เดาเวอร์ชันจากหัวข้อข่าวอย่างเดียว

ผมไม่ใส่ขั้นตอน exploit ในบทความนี้ มีแต่การลดพื้นที่โจมตีที่แอดมินทำได้ทันที

Recap

  • เช็กว่า LDAP ของ FreeIPA/IdM โผล่จากเน็ตที่ไม่ไว้ใจหรือยัง — ถ้าโผล่ ให้ปิด/กรองทันที
  • อ่าน mitigation ในหน้า Red Hat CVE-2026-76578 แล้วปรับ anonymous bind ตามที่สภาพแวดล้อมรับได้
  • รอ/ติดตั้งแพ็กเกจแก้ทั้งฝั่ง IPA และ directory server ตาม advisory ของดิสโทรคุณ
  • หลังแพตช์: ตรวจบัญชี/principal แปลกในกลุ่ม administrators และล็อกการเข้าถึง LDAP เป็นนิสัย