Red Hat פרסמה תיקון לחולשה ב-FreeIPA, מערכת ניהול הזהויות והדומיין שמשמשת סביבות לינוקס, שמאפשרת למשתמש בעל הרשאות רחבות למדי להתחזות לשירות מורשה בדומיין. הציון הוא 8.7 מתוך 10, והנזק שמתואר ברשומה מגיע עד השתלטות על הדומיין כולו. התנאי המקדים גבוה, וזה מה שמחזיק את החולשה בפרופורציה: התוקף צריך כבר להחזיק הרשאות כתיבה ב-LDAP.
מה החולשה?
בדומיין מנוהל, לכל שירות יש שם שהוא רשום תחתיו, ורק מי שמחזיק בשם הזה מקבל את כרטיסי הכניסה שמיועדים לו. לשם קוראים principal, והמערכת שמחלקת את הכרטיסים היא Kerberos. כדי שהשיטה תעבוד חייב להיות ודאי שאין שני רשומים תחת אותו שם, ולכן שרת הספרייה שמאחורי FreeIPA, 389-ds, אוכף על השדה הזה כלל של ייחודיות.
הכלל הזה נאכף על המחרוזת ולא על המשמעות שלה. לאותו שם עצמו יכולות להיות כמה צורות רשומות שנחשבות בהמשך הדרך לאותו שם, ובדיקת הייחודיות אינה מזהה אותן כהתנגשות. כך משתמש שיכול לכתוב ל-LDAP רושם שירות חדש בצורה אחרת של שם שכבר תפוס, הרישום עובר בלי שגיאה, ומאותו רגע הוא יכול לבקש את כרטיסי ה-Kerberos שנועדו לשירות המקורי.
בדיקת הייחודיות עשתה את עבודתה. היא פשוט השוותה את הדבר הלא נכון.
מכאן ההמשך תלוי במי שהותקף. הרשומה מציינת כרטיסים לשירותים רגישים, ואת האפשרות שהשרשרת מגיעה עד השתלטות מלאה על הדומיין. הדירוג גם מסמן שהנזק חורג מגבולות הרכיב שבו הבאג יושב, וזה מתאים לתיאור: מי שהשיג כרטיס של שירות מורשה משתמש בו מול מערכות אחרות, לא מול FreeIPA.
מי מושפע?
החולשה נוגעת ל-FreeIPA, וברשומה מופיעה גרסה 4.12.2 לצד Red Hat Enterprise Linux בענפים 7, 8, 9 ו-10. FreeIPA הוא הצד החופשי של מה ש-Red Hat מפיצה כ-Identity Management, ולכן הוא יושב בדיוק במקומות שמריצים לינוקס בהיקף ומנהלים את המשתמשים והשירותים שלהם במקום אחד.
בישראל זה לא משהו שנמצא בבית, וגם לא בארגון קטן. מדובר באוניברסיטאות, בחברות תוכנה, בגופי מחקר ובמרכזי מחשוב שבחרו לנהל דומיין על לינוקס ולא על Active Directory. אם אינכם יודעים אם יש אצלכם FreeIPA, כמעט בוודאות אין.
וכדאי לשים לב למה שהחולשה דורשת, כי הוא משנה את מי שצריך לטפל בה. לא תוקף אנונימי מהאינטרנט, אלא מי שכבר מחזיק הרשאות כתיבה ב-LDAP. זה מצמצם מאוד את מספר מי שיכול לנצל אותה, ומעביר את הדגש להסלמה מבפנים ולחשבונות שירות שקיבלו יותר הרשאות ממה שהם צריכים.
האם מנוצלת בפועל?
לא ידוע על ניצול בשטח. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, לפי הבדיקה האחרונה של הדף הזה. גם כאן המשמעות היא שאין דיווח, לא שאין ניצול.
וההבחנה הזאת שווה יותר מהרגיל בחולשה כזאת. חולשה שדורשת הרשאות קיימות בתוך הדומיין אינה נסרקת מבחוץ בגלי סריקה אוטומטיים, ולכן היעדר דיווח עליה אומר פחות ממה שהיעדר דיווח אומר על חולשה שחשופה לאינטרנט.
מה עושים?
עדכנו את FreeIPA דרך מנהל החבילות של ההפצה. Red Hat פרסמה שתי הודעות עדכון לחולשה הזאת, RHSA-2026:70564 ו-RHSA-2026:72279, והן מכסות ענפים שונים, כך ששווה לבדוק איזו מהן חלה על הגרסה שאצלכם. הדף של Red Hat לחולשה עצמה, עם רשימת החבילות המתוקנות, נמצא כאן.
אחרי העדכון, ובלי קשר אליו, עברו על מי שמחזיק אצלכם הרשאות כתיבה ב-LDAP. זה התנאי היחיד שהחולשה הזאת דורשת, והוא נוטה להתרחב עם השנים בלי שאף אחד שם לב: חשבונות שירות שקיבלו הרשאה רחבה בהתקנה הראשונה ומעולם לא צומצמו.
ואם אתם רוצים לבדוק אם מישהו כבר ניצל את זה אצלכם, המקום להסתכל הוא רשימת ה-principal-ים הרשומים בדומיין, בחיפוש אחר שירות שנרשם בשם שדומה עד כדי בלבול לשם של שירות מורשה קיים.