30秒で判断
- 対応すべき人: FreeIPA を認証基盤として運用しており、一般利用者に LDAP 書き込み権限を付与している環境
- 対応不要な人: FreeIPA を使用していない、または LDAP 書き込み権限を管理者に限定できている環境
- 確認コマンド: FreeIPA / 389-ds のバージョンと、サービスプリンシパルの作成権限の付与範囲を確認
概要
FreeIPA に、Kerberos プリンシパル名の一意性検証不備による権限昇格の脆弱性（CVSS 8.7）が見つかりました。
389-ds ディレクトリサーバで強制される Kerberos プリンシパル名属性の一意性制約が、同一プリンシパル名の等価表現を適切に考慮していません。このため、十分な LDAP 書き込み権限を持つユーザが、既存の特権サービスプリンシパルを偽装するサービスプリンシパルを作成できます。これにより機微なサービスの Kerberos サービスチケットを不正取得でき、ドメイン全体の侵害につながる可能性があります。
FreeIPA は Linux 環境における統合認証基盤（Kerberos + LDAP + CA）として広く使われており、権限昇格が成立するとドメインに参加した多数のホストやサービスへ横展開される恐れがあります。特に、ヘルプデスクやサービスアカウント管理のために一部の利用者へ LDAP の書き込み権限を委任している構成では、その委任範囲が想定を超えた昇格経路になり得る点に注意が必要です。まずは委任ロールの棚卸しと、Red Hat が提供する修正の適用を推奨します。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| CVSSスコア | 8.7 (High) |
影響を受けるソフトウェア
| 製品 | 備考 |
|---|---|
| FreeIPA | 修正版は Red Hat のセキュリティ情報参照 |
修正バージョンと回避策
- 対策: Red Hat 提供のパッチを適用
- 暫定対策: サービスプリンシパルの作成・LDAP 書き込み権限を信頼できる管理者に限定する
関連リンク
データソース: NVD (NIST), Red Hat Security Advisory AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。