CVE-2026-92821
ŚrednieCVSS 6.8Streszczenie
W SSSD w środowiskach LDAP, gdy ostrzeżenia o wygaśnięciu hasła są oceniane przed restrykcyjnymi regułami dostępu, ostrzeżenie o wygasłym haśle przedwcześnie kończy ocenę reguł i traktuje żądanie dostępu jako udane. Zdalny uwierzytelniony użytkownik z wygasłym hasłem korzystający z alternatywnej metody uwierzytelniania może ominąć kontrolę dostępu.
Ocena ryzyka
Atakujący może ominąć restrykcje kontroli dostępu i uzyskać nieautoryzowany dostęp do chronionych systemów, co stanowi poważne naruszenie bezpieczeństwa.
Rekomendacja
Zaktualizuj SSSD do wersji z poprawką kolejności oceny reguł dostępu względem ostrzeżeń o wygaśnięciu hasła. Zweryfikuj konfigurację reguł dostępu w środowiskach LDAP.
Inne podatności w SSSD
Zobacz wszystkie- CVE-2026-104044Średnie
W SSSD wykryto błąd polegający na braku walidacji stanu w obsłudze passkey Kerberos. Lokalny atakujący może wysłać specjalnie spreparowane żądanie PAM przy włączonym uwierzytelnianiu passkey, co powoduje dereferencję niezainicjalizowanego wskaźnika i awarię respondera PAM.
- CVE-2026-104043Średnie
W SSSD wykryto błąd, w którym lokalny atakujący z dostępem do gniazda UNIX respondera NSS może wywołać niedomiar liczby całkowitej, wysyłając spreparowane żądanie z za małym nagłówkiem pakietu. Prowadzi to do odczytu pamięci poza zakresem podczas parsowania pakietu i awarii procesu respondera.
- CVE-2026-104042Średnie
W SSSD wykryto błąd braku walidacji danych wejściowych w responderze PAM. Lokalny atakujący może wysłać spreparowane żądanie PAM z tokenem uwierzytelniania o zerowej długości, co powoduje odczyt poza granicami bufora i awarię respondera PAM.
- CVE-2026-104041Średnie
W SSSD wykryto błąd w mechanizmie negatywnego buforowania respondera NSS. Nieuprzywilejowany lokalny użytkownik może wielokrotnie żądać wyszukania nieistniejących wpisów, powodując nieograniczony wzrost pamięci podręcznej, ponieważ nie ogranicza ona łącznej liczby przechowywanych wpisów.
- CVE-2026-104040Średnie
W SSSD przy konfiguracji z dostawcą tożsamości Entra ID nazwy wyszukiwania zawierające apostrofy nie są prawidłowo escapowane przed umieszczeniem w zapytaniach Microsoft Graph OData. Niskouprzywilejowany lokalny użytkownik może zmodyfikować filtry zapytań, rozszerzając wyszukiwanie użytkowników lub grup.
- CVE-2026-104039Średnie
W SSSD wykryto błąd w obsłudze uwierzytelniania GSSAPI w responderze PAM, gdzie buforowany stan połączenia jest zwalniany bez wyczyszczenia wskaźnika referencji. Lokalny użytkownik może wysłać dodatkowe żądanie tym samym połączeniem, powodując dostęp do nieprawidłowej pamięci i nieoczekiwane zakończenie usługi.
- CVE-2026-104038Średnie
W SSSD wykryto błąd, w którym usługa nie weryfikuje obecności rozszerzenia SID przed jego przetworzeniem w konfiguracjach z regułami mapowania certyfikatów opartymi na SID. Zdalny atakujący może przesłać certyfikat bez oczekiwanego rozszerzenia SID, powodując awarię procesu podczas uwierzytelniania lub wyszukiwania.
- CVE-2026-104037Średnie
W SSSD wykryto błąd, w którym lokalny atakujący może wysłać spreparowane żądanie z nieprawidłową długością pakietu do gniazda UNIX respondera autofs. Powoduje to niedomiar liczby całkowitej i odczyt pamięci poza zakresem, co może doprowadzić do awarii procesu respondera.
- CVE-2026-104036Średnie
Wtyczka NFS idmap w SSSD nie przerywa działania po wykryciu, że wpis w pamięci podręcznej przekracza rozmiar bufora docelowego, co prowadzi do zapisu poza zakresem. Lokalny atakujący może wywołać ten problem przez żądania tożsamości, które zwracają zbyt duże wpisy z pamięci podręcznej, powodując awarię usługi mapowania tożsamości (DoS) i potencjalne uszkodzenie pamięci sąsiednich procesów.
- CVE-2026-104035Średnie
W responderze Kerberos Credential Manager (KCM) w SSSD występuje problem polegający na tym, że usługa nie zwalnia obiektów z pamięci po usunięciu poświadczeń. Lokalny użytkownik może utrzymywać trwałe połączenie i wielokrotnie przechowywać oraz niszczyć poświadczenia, co prowadzi do ciągłego wzrostu zużycia pamięci i ostatecznie do wyczerpania pamięci, czyniąc usługę nieodpowiadającą (DoS).
Oryginalny opis (angielski, źródło NVD)
A flaw was found in SSSD. When configured to evaluate password expiration warnings before restrictive access rules in LDAP (Lightweight Directory Access Protocol) environments, an expired-password warning terminates rule evaluation early and treats the access request as successful. A remote authenticated user with an expired password using an alternative authentication method, such as SSH public key authentication, can exploit this flaw to bypass access control restrictions and gain unauthorized access to protected systems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS