LemonLDAP::NG : une série de vulnérabilités exposent les systèmes SSO

L’éditeur de la solution d’authentification unique LemonLDAP::NG fait face à une série de vulnérabilités de sécurité rendues publiques. Cet article compile les failles les plus marquantes, de la plus récente à la plus ancienne, avec des conseils pratiques pour les administrateurs.

CVE-2026-12804 : Open redirect via le composant SAML CDC

Une vulnérabilité de type open redirect a été identifiée dans LemonLDAP::NG jusqu’à la version 2.23.0. Le problème se situe au niveau du composant SAML Common Domain Cookie (CDC), dans le fichier Lemonldap/NG/Portal/CDC.pm. La validation insuffisante du paramètre url permet à un attaquant non authentifié de rediriger les utilisateurs vers un site malveillant.

• Impact probable : redirection vers un site contrôlé par un attaquant, utile pour des campagnes de phishing ou un contournement de confiance.
• Priorité : élevée si votre portail utilise SAML/CDC ou est exposé publiquement.
• Correctif : le correctif a été intégré dans la version 2.23.1. Le fournisseur précise que le composant CDC est « assez rarement utilisé, donc l’impact est très faible ».

Que faire ?

• Mettez en place une liste blanche stricte des domaines de redirection autorisés.
• Bloquez les URLs absolues externes non attendues dans les paramètres de redirection (url, redirect_uri, return_url, etc.).

CVE-2023-28862 : Contournement de l’authentification 2FA

Les versions de LemonLDAP::NG antérieures à 2.16.1 présentent une faille dans le handler AuthBasic : une génération faible d’ID de session couplée à une gestion incorrecte des échecs de mot de passe peut permettre à un attaquant de contourner la vérification 2FA.

• Impact : contournement de l’authentification forte dans les scénarios AuthBasic.
• Priorité : critique si votre déploiement est encore en version 2.16.0 ou antérieure.

Que faire ?

• Vérifiez votre version : si vous êtes sous 2.16.0 ou moins, mettez à jour immédiatement.
• Si vous utilisez AuthBasic et 2FA, assurez-vous de ne pas être sur un chemin de code vulnérable.

CVE-2020-24660 : Bypass de contrôle d’accès sous NGINX

Jusqu’à la version 2.0.8, il était possible, avec NGINX, de contourner les règles d’accès URL sur des Virtual Hosts protégés en soumettant une URI non normalisée.

• Impact : accès potentiel à des ressources protégées malgré les règles de contrôle d’accès.
• Priorité : pertinente pour les installations anciennes ou les configurations NGINX similaires.

Que faire ?

• Vérifiez la normalisation des URI avant l’application des règles d’autorisation.
• Mettez à jour vers une version corrigée (2.0.9 ou ultérieure).

CVE-2025-59518 : Exécution de code à distance (RCE)

Cette vulnérabilité d’injection de commandes OS (CWE-78) affecte le Safe jail de LemonLDAP::NG. Un administrateur authentifié ayant les droits de modifier les règles évaluées par le Safe jail peut exécuter des commandes arbitraires sur le serveur.

• Impact : contrôle total du serveur pour un attaquant disposant de droits d’administration.
• Versions concernées : avant 2.16.7 et 2.21.3.

Autres failles notables

Le suivi de sécurité Debian liste également plusieurs autres vulnérabilités, dont :

• CVE-2025-31510 : Cross-Site Scripting (XSS) dans le portail, avant 2.21.0.
• CVE-2024-52948 : CSRF sur l’enregistrement 2FA.
• CVE-2024-48933 : XSS dans la page de connexion via le nom d’utilisateur.
• CVE-2021-40874 :

  RESTServer pwdConfirm

  retourne toujours vrai avec Combination + Kerberos.
• CVE-2021-35473 : Vérification de la durée de vie du jeton OAuth2 absente.
• CVE-2021-35472 : Corruption du cache de session pouvant mener à un bypass d’autorisation.

Limites de cette analyse

• Aucune faille nouvelle non publiée n’a été découverte dans l’archive jointe.
• La seule vulnérabilité explicitement liée à la version 2.23.0 est CVE-2026-12804 (open redirect).

Recommandations générales

1. Mettez à jour vers la dernière version : la version 2.23.1 corrige l’open redirect.
2. Surveillez les annonces : consultez régulièrement le Security Tracker Debian pour les nouvelles CVE.
3. Appliquez les correctifs : pour les versions stables (Debian bookworm), les mises à jour sont disponibles via

   apt update && apt upgrade

   .
4. Auditez vos configurations : vérifiez les règles de redirection, l’utilisation de NGINX, et les paramètres AuthBasic/2FA.