CVE-2026-13097: Kritisk fejl i FreeIPA og 389-ds

CVE-2026-13097 er en fejl i FreeIPA, et system til centraliseret identitetsstyring og login på tværs af Linux- og Unix-servere. Fejlen ligger i katalogtjenesten 389-ds, som opbevarer brugere og tjenestekonti. Systemet skal sikre, at hvert Kerberos-principalnavn, altså identiteten bag en bruger- eller servicekonto i autentificeringssystemet Kerberos, kun findes én gang. Kontrollen tjekker ikke for forskellige skriveformer af det samme navn. En bruger med skriverettigheder i katalogtjenesten kan derfor oprette en ny tjenestekonto, der i praksis fremstår identisk med en eksisterende privilegeret konto. Det åbner for, at systemet udleverer billetter (adgangsbeviser) til følsomme tjenester til den forkerte konto.

Sårbarheden rammer organisationer, der bruger FreeIPA eller Red Hat Identity Management, herunder den underliggende 389-ds directory server, til at styre brugere, servere og Kerberos-autentificering. Det gælder typisk kommuner, uddannelsesinstitutioner og virksomheder med Linux-tung infrastruktur, hvor FreeIPA fungerer som modstykke til Active Directory. NVD angiver ingen bestemt versionsafgrænsning, så alle installationer bør kontrollere, om de kører en rettet pakke.

En bruger, der allerede har fået tildelt skriverettigheder i katalogtjenesten, eksempelvis en helpdesk-medarbejder eller en delegeret administrator, kan oprette en tjenestekonto, der udgiver sig for en eksisterende privilegeret konto. Herefter kan personen få udstedt gyldige Kerberos-billetter til følsomme tjenester og dermed skaffe sig adgang, som normalt kun tilhører domæneadministratorer. I værste fald giver det fuld kontrol over hele domænet og alle systemer, der stoler på det.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket med lav kompleksitet, men det kræver, at angriberen allerede har høje privilegier i form af skriverettigheder i LDAP. Det gør sårbarheden mest relevant som et internt trin i en angrebskæde, for eksempel efter en kompromitteret helpdesk-konto, snarere end noget en udenforstående kan udnytte direkte. Konsekvensen ved udnyttelse er dog fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke offentligt kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Opdatér 389-ds-base og freeipa-server til den rettede pakke fra jeres distributions sikkerhedskanal, for eksempel Red Hat eller Fedora.
2. Gennemgå, hvem der har skriverettigheder i katalogtjenesten, og reducér delegerede rettigheder til det, der faktisk er nødvendigt.
3. Søg efter dubletter eller usædvanlige tjenesteprincipaler, der ligner eksisterende privilegerede konti.
4. Gennemgå Kerberos-logs for uventet udstedelse af tjenestebilletter til følsomme services.
5. Skift adgangskoder og nøgler for privilegerede tjenestekonti, hvis I finder tegn på misbrug.
6. Hent ekstern hjælp, hvis I ikke har erfaring med FreeIPA-hærdning eller ikke selv kan verificere, om katalogtjenesten er rettet.