CVE-2026-73644
KrytyczneCVSS 9.6Streszczenie
OpenDJ przed wersją 5.1.2 w mechanizmie SASL PLAIN sprawdza uprawnienie PROXIED_AUTH, ale nie ocenia zakresu proxy ACI (mayProxy), gdy authzid wskazuje na innego użytkownika. Dzięki temu uwierzytelnione konto z uprawnieniem PROXIED_AUTH może przyjąć tożsamość dowolnego użytkownika (poza rootem) bez ograniczeń wynikających z ACI. Poprawka zwraca błąd INVALID_CREDENTIALS (49) przed weryfikacją hasła, gdy docelowa tożsamość nie jest dozwolona. Problem został naprawiony w wersji 5.1.2.
Ocena ryzyka
Uwierzytelniony użytkownik może podszyć się pod inne konta, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia polityk bezpieczeństwa.
Rekomendacja
Zaktualizuj OpenDJ do wersji 5.1.2 lub nowszej i przejrzyj konfigurację uprawnień PROXIED_AUTH oraz ACI.
Oryginalny opis (angielski, źródło NVD)
OpenDJ is an LDAPv3 compliant directory service. Prior to 5.1.2, the SASL PLAIN authorization identity path in opendj-server-legacy/src/main/java/org/opends/server/extensions/PlainSASLMechanismHandler.java checked the PROXIED_AUTH privilege but did not evaluate the mayProxy proxy ACI scope when an authzid resolved to a different user. Both dn: and u: or bare authzid forms could therefore let an authenticated account holding PROXIED_AUTH assume any resolvable non-root identity outside the identities permitted by its proxy ACI. The fix returns INVALID_CREDENTIALS (49) before password verification when the target authorization identity is not permitted. This issue is fixed in version 5.1.2.