CVE-2026-14476
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W SSSD wykryto podatność polegającą na przechodzeniu do katalogów nadrzędnych (path traversal) w dostawcy AD GPO. Funkcja ad_gpo_extract_smb_components() nie oczyszcza sekwencji .. w atrybucie LDAP gPCFileSysPath, co pozwala atakującemu z uprawnieniami do zarządzania GPO w AD na zapisywanie plików poza katalogiem cache GPO jako root. W domyślnej konfiguracji RHEL z włączonym SELinux w trybie enforcing może to posłużyć do wstrzyknięcia konfiguracji Kerberos, prowadząc do ominięcia uwierzytelniania.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości ominięcia uwierzytelniania Kerberos przez atakującego z dostępem do zarządzania GPO w AD, co może skutkować nieautoryzowanym dostępem do systemów i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację SSSD do wersji zawierającej poprawkę usuwającą podatność path traversal w funkcji ad_gpo_extract_smb_components(). Należy również ograniczyć uprawnienia do zarządzania GPO w AD tylko do zaufanych administratorów.
Inne podatności w SSSD
Zobacz wszystkie- CVE-2026-90462Średnie
W SSSD skonfigurowanym z dostawcą dostępu LDAP i ldap_access_order zawierającym ppolicy lub lockout może wystąpić warunek fail-open w sprawdzaniu dostępu LDAP ppolicy, gdy wyszukiwanie użytkownika zwróci zero wyników. Może to nieprawidłowo zwrócić sukces i zapisać decyzję o zezwoleniu w pamięci podręcznej, umożliwiając dalszą autoryzację usuniętego lub wyrejestrowanego użytkownika.
- CVE-2026-90996Średnie
W sssd znaleziono usterkę, w której lokalny nieuprzywilejowany użytkownik może wysłać specjalnie spreparowane żądanie z zerową długością treści do respondera NSS. Może to prowadzić do niestabilności lub zakończenia działania respondera NSS, co skutkuje odmową usługi.
- CVE-2026-90995Średnie
W SSSD znaleziono usterkę, w której lokalny atakujący z uprawnieniami do połączenia z gniazdem respondera PAM może wysłać specjalnie spreparowane żądanie protokołu. Jeśli konfiguracja `pam_app_services` jest włączona, a element usługi zostanie pominięty w żądaniu, może wystąpić dereferencja pustego wskaźnika, prowadząca do awarii respondera PAM i zakłócenia usług uwierzytelniania.
- CVE-2026-90994Średnie
W sssd znaleziono usterkę w parserze protokołu v1 respondera PAM, pam_parse_in_data(). Lokalny klient z dostępem do gniazda UNIX respondera PAM może wykorzystać tę podatność, negocjując protokół v1 i wysyłając puste lub skrócone ciało żądania PAM, co może wywołać odczyt poza zakresem i spowodować zakończenie lub restart respondera PAM, prowadząc do lokalnej odmowy usługi.
- CVE-2026-90463Średnie
W responderze NSS w sssd znaleziono podatność związaną z walidacją danych wejściowych. Lokalny atakujący, wysyłając specjalnie spreparowane żądania wyszukiwania usług do gniazda UNIX respondera NSS, może spowodować odczyt poza zakresem, co może prowadzić do awarii procesu respondera NSS i odmowy usługi.
- CVE-2026-87853Wysokie
W dostawcy uwierzytelniania IdP w SSSD funkcja eval_access_token_buf() porównuje identyfikator podmiotu OIDC za pomocą strncmp() z długością identyfikatora uwierzytelnionego użytkownika, wykonując porównanie prefiksu zamiast dokładnego dopasowania. Atakujący, którego identyfikator IdP jest ścisłym prefiksem identyfikatora docelowego użytkownika, może uwierzytelnić się jako ten użytkownik.
- CVE-2026-68743Średnie
W SSSD znaleziono błąd. Funkcja extract_authtok_v1() w responderze PAM nie sprawdza pola auth_token_length względem pozostałego rozmiaru bufora przed przetworzeniem. Lokalny atakujący może wykorzystać to poprzez spreparowane żądanie protokołu v1 do gniazda respondera PAM, powodując odczyt poza zakresem i awarię procesu, co prowadzi do odmowy usługi.
- CVE-2026-68744Niskie
W SSSD znaleziono błąd w funkcji sss_nss_protocol_fill_initgr() w responderze NSS. Funkcja wstępnie przydziela miejsce na odpowiedź dla wszystkich wpisów grup, ale nie zmniejsza pakietu, gdy grupy są pomijane, co powoduje wysyłanie niezainicjalizowanych bajtów z sterty do klienta. Lokalny atakujący może to wykorzystać do ujawnienia danych z pamięci podręcznej katalogu i informacji o układzie sterty z procesu sssd_nss.
- CVE-2026-68742Średnie
W SSSD funkcja sss_nss_protocol_parse_addr() w responderze NSS nie sprawdza poprawności pola addrlen względem rozmiaru pakietu. Lokalny atakujący może wysłać spreparowane żądanie GETHOSTBYADDR, powodując odczyt poza zakresem i crash procesu (DoS).
- CVE-2026-14474Wysokie
W SSSD w komponencie LDAP sudo provider wykryto lukę. Gdy opcja ldap_sudo_search_base nie jest skonfigurowana, SSSD przeszukuje całe drzewo LDAP w poszukiwaniu obiektów sudoRole. Uwierzytelniony atakujący z prawem zapisu do dowolnego poddrzewa może wstrzyknąć obiekt sudoRole przyznający uprawnienia root na wszystkich hostach korzystających z SSSD.
Oryginalny opis (angielski, źródło NVD)
A path traversal flaw was found in SSSD's AD GPO provider. The ad_gpo_extract_smb_components() function does not sanitize .. sequences in the gPCFileSysPath LDAP attribute, allowing an attacker with AD GPO management access to write files outside the GPO cache directory as root. On default RHEL configurations with SELinux enforcing, this can be used to inject Kerberos configuration leading to authentication bypass.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS