Luki w zabezpieczeniach LemonLDAP::NG – najważniejsze podatności, które musisz znać

Znalazłem publicznie zgłoszone podatności dla LemonLDAP::NG, w tym jedną dotyczącą wersji aż do 2.23.0 włącznie. Nie byłem w stanie bezpośrednio przeanalizować załączonego archiwum, więc poniższa lista opiera się wyłącznie na dostępnych publicznych biuletynach bezpieczeństwa.

Istotne luki w zabezpieczeniach

• CVE-2026-12804 — Open redirect (otwarte przekierowanie): w LemonLDAP::NG do wersji 2.23.0 istnieje luka w komponencie SAML Common Domain Cookie Endpoint, spowodowana nieprawidłową walidacją parametru URL.

  • Możliwy skutek: użytkownik może zostać przekierowany na stronę kontrolowaną przez atakującego, co ułatwia phishing lub ominięcie mechanizmów zaufania.
  • Priorytet: wysoki, jeśli używasz SAML/CDC lub portal jest dostępny publicznie.

• CVE-2023-28862 — Obejście uwierzytelniania dwuskładnikowego (2FA) / sesje AuthBasic: w wersjach starszych niż 2.16.1 słaba generacja identyfikatorów sesji w handlerze AuthBasic oraz nieprawidłowa obsługa błędów podczas weryfikacji hasła mogą umożliwić atakującemu pominięcie weryfikacji 2FA.

  • Skutek: ominięcie silnego uwierzytelniania w niektórych scenariuszach AuthBasic.
  • Priorytet: krytyczny tylko w przypadku starej instalacji lub gdy dotknięty kod został ponownie wprowadzony.

• CVE-2020-24660 — Obejście kontroli dostępu przy użyciu NGINX: LemonLDAP::NG do wersji 2.0.8 pozwalał na ominięcie reguł dostępu URL w chronionych Virtual Hostach poprzez przesłanie nieznormalizowanego URI, gdy używany był NGINX.

  • Skutek: możliwy dostęp do chronionych zasobów mimo ustawionych reguł URL.
  • Priorytet: istotny głównie dla starszych instalacji lub podobnych konfiguracji NGINX.

• CVE-2021-40874 — RESTServer pwdConfirm: dokumentacja aktualizacji wspomina o CVE-2021-40874, związanym z tym, że

  RESTServer pwdConfirm

  zawsze zwraca wartość true.
  • Skutek: ryzyko nieprawidłowej walidacji potwierdzenia hasła w zależności od konfiguracji.

Co powinieneś sprawdzić w swoim kodzie/konfiguracji

• Sprawdź sposób obsługi przekierowań, szczególnie parametry typu url, redirect_uri, return_url lub podobne, związane z SAML/CDC.
• Dla CVE-2026-12804 wdróż ścisłą listę dozwolonych domen docelowych dla przekierowań i odrzucaj nieoczekiwane zewnętrzne adresy URL.
• Jeśli używasz NGINX, upewnij się, że URI są normalizowane przed zastosowaniem reguł autoryzacji.
• Jeśli masz włączone AuthBasic lub 2FA, sprawdź, czy nie pracujesz na wersji lub ścieżce kodu dotkniętej przez CVE-2023-28862.

Ograniczenia

• Nie ma wystarczających dowodów, aby stwierdzić, że załączone archiwum zawiera nową, nieopublikowaną lukę.
• Jedyną luką wyraźnie powiązaną z wersją 2.23.0 w dostarczonych wynikach jest CVE-2026-12804.