CVE-2026-14474
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W SSSD w komponencie LDAP sudo provider wykryto lukę. Gdy opcja ldap_sudo_search_base nie jest skonfigurowana, SSSD przeszukuje całe drzewo LDAP w poszukiwaniu obiektów sudoRole. Uwierzytelniony atakujący z prawem zapisu do dowolnego poddrzewa może wstrzyknąć obiekt sudoRole przyznający uprawnienia root na wszystkich hostach korzystających z SSSD.
Ocena ryzyka
Organizacja narażona jest na eskalację uprawnień przez uwierzytelnionego użytkownika, który może uzyskać pełną kontrolę nad wszystkimi systemami zintegrowanymi z SSSD, co prowadzi do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Należy skonfigurować opcję ldap_sudo_search_base w SSSD, aby ograniczyć zakres wyszukiwania sudoRole do konkretnego poddrzewa LDAP, oraz zastosować odpowiednie aktualizacje zabezpieczeń dostarczone przez producenta.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in SSSD's LDAP sudo provider. When the ldap_sudo_search_base option is not explicitly configured, SSSD searches the entire LDAP directory tree for sudoRole objects. An authenticated attacker with write access to any subtree can inject a sudoRole object granting root-level sudo privileges on all SSSD-enrolled hosts.