Vulnerabilidades no LemonLDAP::NG: Uma análise das CVEs recentes e recomendações de segurança

Com base em fontes públicas, identificamos diversas vulnerabilidades (CVEs) no LemonLDAP::NG, um sistema de Single Sign-On (SSO) e gerenciamento de identidade de código aberto. A análise se concentra nas falhas mais recentes e críticas, incluindo uma que afeta explicitamente a versão 2.23.0. É fundamental lembrar que não foi possível auditar diretamente o conteúdo de arquivos fechados, portanto, a lista abaixo se baseia exclusivamente em avisos de segurança públicos.

Faixas de segurança recentes

• CVE-2026-12804 — Open Redirect (Redirecionamento Aberto) : Uma vulnerabilidade de redirecionamento aberto foi encontrada no LemonLDAP::NG até a versão 2.23.0. Ela reside no componente SAML Common Domain Cookie Endpoint e é causada pela validação inadequada do parâmetro url na URL .

  • Impacto provável: Um atacante pode redirecionar usuários para sites maliciosos, facilitando ataques de phishing ou contornando medidas de confiança .
  • Prioridade: Alta, especialmente se você utiliza SAML/CDC ou se o portal está exposto publicamente. O fornecedor já lançou um patch na versão 2.23.1, mas admite que o impacto é baixo, pois o CDC raramente é usado .

• CVE-2023-28862 — Bypass de Autenticação de Dois Fatores (2FA) : As versões anteriores à 2.16.1 apresentam uma geração fraca de ID de sessão no handler AuthBasic e um tratamento incorreto de falhas durante a verificação de senha. Isso permite que atacantes ignorem a verificação de 2FA .