CVE-2026-76578: Kritisk fejl i FreeIPA giver adminadgang

CVE-2026-76578 er en sårbarhed i FreeIPA, et system til at styre brugerkonti, adgangskoder og rettigheder på Linux-servere, ofte kendt som Red Hat Identity Management (IdM). Fejlen ligger i en såkaldt ACI, en regel der styrer, hvem der må læse eller skrive data i katalogtjenesten LDAP. Reglen for selvbetjente OTP-token (engangskoder til totrinsgodkendelse) kræver ikke, at brugeren er logget ind, og den begrænser ikke, hvilke ekstra attributter der kan tilføjes sammen med token-oplysningerne. Kombineret med en relateret fejl i den underliggende katalogtjeneste kan en angriber uden login oprette en falsk brugerkonto og selv lægge den ind i administratorgruppen. Dermed opnår angriberen ægte administratoradgang til hele IdM-miljøet.

Sårbarheden rammer virksomheder og kommuner, der bruger FreeIPA eller Red Hat Identity Management til at styre brugere og adgang på Linux-servere. Det gælder alle installationer, hvor selvbetjent OTP-token er aktiveret. Miljøer, hvor FreeIPA er kædet sammen med Active Directory via SID (Security Identifier), er særligt udsatte, fordi angriberen her også kan få adgang til andre identitetstjenester i domænet.

En angriber uden brugernavn eller adgangskode kan udnytte fejlen over netværket og få fuld administratoradgang til jeres katalogtjeneste. Det betyder, at angriberen kan oprette og slette brugere, ændre adgangskoder, læse fortrolige data og skifte rettigheder på alle servere, der bruger IdM til login. I miljøer, hvor IdM er koblet til Active Directory, kan angrebet også ramme andre systemer, der stoler på den samme identitetsstyring.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ikke adgangskode og ingen handling fra en bruger, det kan udføres direkte over netværket af en fremmed. Svagheden er kategoriseret som CWE-306, manglende godkendelse af en kritisk funktion, hvilket er blandt de mest alvorlige typer af fejl, fordi der ingen barriere er mellem angriberen og systemet. Der er ikke oplyst aktiv udnyttelse i naturen ved offentliggørelsen, men fordi fejlen er nem at udnytte og giver fuld administratorrettigheder, bør den behandles som et akut opdateringsbehov.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér FreeIPA eller Red Hat Identity Management til den version, hvor leverandøren har rettet ACI-fejlen for OTP-token og den relaterede fejl i katalogtjenesten.
2. Kan I ikke opdatere med det samme, så deaktivér selvbetjent OTP-token-oprettelse for brugere, så funktionen kun kan udføres af en administrator.
3. Gennemgå administratorgruppen for uventede eller ukendte medlemmer, der kan være tilføjet efter et angreb.
4. Tjek logfiler fra katalogtjenesten for uautoriserede ændringer af brugerobjekter eller gruppetilhørsforhold i perioden op til opdateringen.
5. Begræns adgang til LDAP-tjenesten fra internettet, hvis den ikke skal være tilgængelig udefra.
6. Hvis I ikke selv har kompetencerne til at gennemgå logfiler eller vurdere, om I er blevet kompromitteret, bør I inddrage ekstern it-sikkerhedshjælp.