שרשור פגיעויות ב-FreeIPA ו-389 Directory Server מאפשר הרשאות מנהל ללא אימות

חוקרי אבטחה חשפו שרשור בין שתי פגיעויות ב-FreeIPA ובמנוע התשתית שלו, 389 Directory Server, שמאפשר ללקוח LDAP אנונימי — כלומר בלי שם משתמש או סיסמה כלל — ליצור זהות Kerberos ולצרף אותה לקבוצת המנהלים. מדובר בתשתית ניהול זהויות נפוצה בסביבות Linux ארגוניות, ובפרט ב-Red Hat Enterprise Linux.

איור קונספטואלי של דלת כספת פתוחה עם שרשרת אבטחה שבורה

מזהה	CVE-2026-76578 (FreeIPA) ו-CVE-2026-76560 (389 Directory Server)
מוצר וגרסאות מושפעות	FreeIPA לפני גרסה 4.13.4; 389 Directory Server / Red Hat Directory Server 11 בהתקנות עם כלל ברירת המחדל של FreeIPA
חומרה (CVSS)	CVE-2026-76578: 9.8 (קריטית) · CVE-2026-76560: 7.5 (חמורה)
האם מנוצל בפועל	לא — נמצא במחקר ושוחזר במעבדה, אין דיווח על ניצול בשטח
סטטוס תיקון	FreeIPA 4.13.4 מתקנת את שתי הפגיעויות; Red Hat פרסמה עדכוני 389-ds-base ל-RHEL (למשל 389-ds-base-3.2.0-10.el10_2 ל-RHEL 10)

מה קרה

FreeIPA מגיעה עם כלל הרשאות ברירת מחדל שנועד לאפשר למשתמש לנהל את אסימון ה-OTP (סיסמה חד-פעמית) שלו, אבל הכלל אינו דורש אימות ואינו מגביל אילו שדות נוספים אפשר לצרף לאותה רשומה. במקביל, ב-389 Directory Server נמצא כשל בבדיקת ההרשאות: כלל האימות משווה את שם הלקוח האנונימי (שדה ריק) מול ערך ריק שמור, ומחשיב את ההתאמה כאילו זו זהות מאומתת. השילוב מאפשר ללקוח אנונימי ליצור רשומת אסימון עם שדות בעלות ריקים, ולצרף אליה זהות Kerberos חדשה שהתוקף שולט בה — זהות שמקבלת בפועל הרשאות מנהל.

Red Hat שחזרה את השרשור בהצלחה בסביבת מעבדה על התקנת FreeIPA סטנדרטית, ללא שינוי הגדרות, מה שהופך אותו לרלוונטי לכל ארגון שמריץ את ברירת המחדל. עם זאת, אין נכון לכתיבת שורות אלה דיווח על ניצול בשטח.

נקודות לשים לב

עדכן ל-FreeIPA 4.13.4 ולעדכוני 389-ds-base המתאימים לגרסת RHEL שלך בהקדם — השרשור עובד על התקנת ברירת מחדל, לא רק על תצורות מותאמות.
אם אי אפשר לעדכן מיד: הגבל גישה ל-LDAP (פורטים 389 ו-636) בחומת אש למקורות מהימנים בלבד, ובדוק אפשרות לחסום bind אנונימי — אחרי שווידאת שאין תלות פנימית בגישה אנונימית.
בדוק בלוגים של שרת ה-Directory Server חיפוש אחר ניסיונות bind אנונימיים שמנסים ליצור או לשנות רשומות אסימון OTP — פעילות כזו ממקור לא מוכר היא סימן אזהרה.
אין פתרון מעקף ידוע לפגיעות נלווית שלישית שנחשפה באותו מחקר, ב-idp-add של FreeIPA (CVE-2026-79678) — שם רק עדכון גרסה פותר את הבעיה.
הסיכון מוגבל להתקנות FreeIPA/IdM; ארגונים שמריצים 389 Directory Server עצמאי בלי כללי ההרשאה של FreeIPA חשופים רק לפגיעות ה-CVSS 7.5 הבודדת, לא לשרשור המלא.