Waspada! LemonLDAP::NG Versi 2.23.0 dan Sebelumnya Memiliki Celah Open Redirect Berbahaya

Saya telah menemukan beberapa kerentanan (vulnerabilities) yang tercatat secara publik untuk LemonLDAP::NG, termasuk satu celah yang secara spesifik memengaruhi versi hingga 2.23.0. Daftar di bawah ini disusun berdasarkan advisori keamanan yang tersedia untuk umum.

Kerentanan yang Perlu Diwaspadai

1. CVE-2026-12804 — Open Redirect

   • Deskripsi: Sebuah celah open redirect ditemukan pada LemonLDAP::NG hingga versi 2.23.0. Kerentanan ini terletak di komponen SAML Common Domain Cookie Endpoint (file

     lemonldap-ng-portal/lib/Lemonldap/NG/Portal/CDC.pm

     ). Penyebabnya adalah validasi yang tidak sempurna pada argumen url, sehingga memungkinkan manipulasi tujuan redirect.
   • Dampak: Penyerang tanpa autentikasi dapat membuat URL berbahaya yang akan mengarahkan pengguna ke situs eksternal yang mereka kendalikan. Ini sangat berguna untuk serangan phishing atau menghindari kepercayaan.
   • Prioritas: Tinggi. Terutama jika Anda menggunakan fitur SAML/CDC atau jika portal Anda dapat diakses dari internet.
   • Solusi: Vendor telah mengonfirmasi bahwa celah ini telah diperbaiki dan akan tersedia di versi 2.23.1. Segera lakukan pembaruan.

2. CVE-2023-28862 — Bypass Autentikasi 2FA / AuthBasic

   • Deskripsi: Pada versi sebelum 2.16.1, terdapat kelemahan pada pembuatan ID sesi di handler AuthBasic dan penanganan kegagalan yang salah saat verifikasi kata sandi. Hal ini memungkinkan penyerang untuk melewati verifikasi 2FA.
   • Dampak: Bypass autentikasi kuat (strong authentication) pada skenario tertentu yang menggunakan AuthBasic.
   • Prioritas: Kritis jika Anda masih menggunakan versi lawas.

3. CVE-2020-24660 — Bypass Kontrol Akses dengan NGINX

   • Deskripsi: LemonLDAP::NG hingga versi 2.0.8 memungkinkan penyerang untuk melewati aturan kontrol akses berbasis URL pada Virtual Host yang dilindungi, jika menggunakan NGINX. Caranya dengan mengirimkan URI yang tidak dinormalisasi (non-normalized URI).
   • Dampak: Akses yang tidak sah ke sumber daya yang seharusnya dilindungi.
   • Prioritas: Sedang — relevan terutama untuk instalasi lama atau yang menggunakan konfigurasi NGINX serupa.

4. CVE-2021-40874 — RESTServer pwdConfirm

   • Deskripsi: Kerentanan ini berkaitan dengan fungsi

     RESTServer pwdConfirm

     yang selalu mengembalikan nilai 'true' (benar).
   • Dampak: Risiko validasi konfirmasi kata sandi yang salah, tergantung pada konfigurasi.

Kerentanan Lain yang Juga Tercatat

Selain di atas, beberapa kerentanan lain juga perlu diwaspadai, terutama jika Anda menggunakan versi yang lebih lama:

CVE	Tipe	Dampak Utama	Versi Terpengaruh
CVE-2025-59518	OS Command Injection	Eksekusi perintah sistem oleh admin melalui Safe jail.	Sebelum 2.16.7 / 2.21.3
CVE-2024-52948	CSRF	Cross-Site Request Forgery pada registrasi 2FA.	Sebelum 2.20.1
CVE-2025-31510	XSS	Cross-Site Scripting di portal.	Sebelum 2.21.0
CVE-2024-48933	XSS	Injeksi skrip di halaman login lewat kolom username.	Sebelum 2.19.3
CVE-2024-52946	Peningkatan Hak Akses	Pengguna sah bisa menaikkan level autentikasinya.	Sebelum 2.20.1
CVE-2023-44469	SSRF	Server-Side Request Forgery melalui parameter request_uri OIDC.	Sebelum 2.17.1

Langkah Mitigasi yang Harus Dilakukan

Berdasarkan kerentanan di atas, segera lakukan langkah-langkah berikut:

• Update Sekarang! Segera upgrade ke versi 2.23.1 atau yang lebih baru (begitu dirilis) untuk menambal celah open redirect (CVE-2026-12804).
• Periksa Redirect URL: Audit semua parameter URL yang berjenis url, redirect_uri, return_url, atau sejenisnya, terutama yang terkait dengan SAML/CDC. Terapkan daftar putih (allowlist) yang ketat untuk domain-domain yang diizinkan melakukan redirect. Tolak URL absolut eksternal yang tidak diharapkan.
• Validasi URI di NGINX: Jika Anda menggunakan NGINX, pastikan URI telah dinormalisasi sebelum aturan otorisasi diterapkan untuk mencegah bypass CVE-2020-24660.
• Periksa Konfigurasi 2FA & AuthBasic: Pastikan Anda tidak menggunakan versi yang terpengaruh oleh CVE-2023-28862. Jika ada, segera patch.
• Pantau Advisori Keamanan: Selalu pantau sumber-sumber seperti Debian Security Tracker dan halaman resmi LemonLDAP::NG untuk pembaruan keamanan terbaru.

Keterbatasan Informasi

• Tidak ada cukup bukti untuk menyatakan bahwa arsip yang Anda miliki mengandung kerentanan baru yang belum dipublikasikan.
• Satu-satunya kerentanan yang secara eksplisit terkait dengan versi 2.23.0 adalah CVE-2026-12804.