CVE-2026-35563: Manglende hostnavne-tjek i Apache LDAP API

Sårbarheden CVE-2026-35563 findes i Apache Directory LDAP API, et bibliotek udviklere bruger til at forbinde applikationer til LDAP-servere, altså kataloger med bruger- og adgangsdata, via en krypteret TLS-forbindelse. Biblioteket kontrollerer korrekt, at et certifikat er udstedt af en betroet myndighed, men undersøger ikke, om certifikatet faktisk er udstedt til den server, klienten forbinder til. Det kaldes mangelfuld verifikation af værtsnavn og er registreret som CWE-297. Konsekvensen er, at et gyldigt certifikat udstedt til en helt anden server kan blive accepteret, hvis en angriber kan placere sig mellem klient og server.

Sårbarheden rammer applikationer og systemer, der bruger Apache Directory LDAP API i version 2.0.0 til og med 2.1.6 til at forbinde til en LDAP-server over TLS. Det gælder typisk java-baserede løsninger til brugerstyring, single sign-on eller katalogopslag, hvor udviklere har indbygget biblioteket. Danske virksomheder og kommuner, der har udviklet eller fået udviklet interne administrationssystemer, der slår brugere op i Active Directory eller andre LDAP-kataloger, kan være berørt.

Hvis en angriber kan placere sig på netværket mellem klienten og LDAP-serveren, for eksempel på et delt kontornetværk, via kompromitteret netværksudstyr eller usikret wifi, kan angriberen udgive sig for at være LDAP-serveren. Klienten sender herefter brugernavne, adgangskoder eller andre følsomme katalogdata direkte til angriberen, som samtidig kan ændre eller forfalske svar tilbage til klienten. Det kan give angriberen adgang til brugerkonti og videre til andre systemer, der er afhængige af samme katalogtjeneste.

CVSS-scoren er 8,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke, at brugeren udfører nogen handling, men angriberen skal have lave privilegier på netværket og evnen til at gennemføre et man-in-the-middle-angreb, altså placere sig mellem klient og server. Kompleksiteten er sat til høj, fordi angriberen samtidig skal kunne fremvise et certifikat, som klientens tillidsdepot allerede stoler på. Der er ikke observeret aktiv udnyttelse i det åbne, men fejlen er offentligt beskrevet, og angrebsteknikken er velkendt.

Det vigtigste er at opdatere biblioteket til den rettede version. Herefter bør I gennemgå netværksadgang og certifikatstyring.

1. Opdatér Apache Directory LDAP API til version 2.1.7 eller nyere i alle applikationer og systemer, hvor biblioteket bruges.
2. Kortlæg, hvilke interne systemer der bruger biblioteket til LDAP-opslag, da sårbarheden ofte er indlejret i tredjepartsapplikationer.
3. Begræns netværksadgang mellem klienter og LDAP-servere, så kun betroede netværkssegmenter kan kommunikere direkte, for eksempel via VLAN-segmentering.
4. Gennemgå jeres certifikatstyring og tillidsdepoter, så kun nødvendige certifikater er markeret som betroede.
5. Test forbindelsen efter opdatering for at bekræfte, at værtsnavnsverifikation nu er aktiveret.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan identificere, hvor biblioteket er i brug, eller hvis opdateringen kræver ændringer i tredjepartssoftware, I ikke selv har kildekoden til.