Vulnerabilidades no LemonLDAP::NG: Uma análise das CVEs recentes e recomendações de segurança

Com base em fontes públicas, identificamos diversas vulnerabilidades (CVEs) no LemonLDAP::NG, um sistema de Single Sign-On (SSO) e gerenciamento de identidade de código aberto. A análise se concentra nas falhas mais recentes e críticas, incluindo uma que afeta explicitamente a versão 2.23.0. É fundamental lembrar que não foi possível auditar diretamente o conteúdo de arquivos fechados, portanto, a lista abaixo se baseia exclusivamente em avisos de segurança públicos.

Faixas de segurança recentes

• CVE-2026-12804 — Open Redirect (Redirecionamento Aberto) : Uma vulnerabilidade de redirecionamento aberto foi encontrada no LemonLDAP::NG até a versão 2.23.0. Ela reside no componente SAML Common Domain Cookie Endpoint e é causada pela validação inadequada do parâmetro url na URL .

  • Impacto provável: Um atacante pode redirecionar usuários para sites maliciosos, facilitando ataques de phishing ou contornando medidas de confiança .
  • Prioridade: Alta, especialmente se você utiliza SAML/CDC ou se o portal está exposto publicamente. O fornecedor já lançou um patch na versão 2.23.1, mas admite que o impacto é baixo, pois o CDC raramente é usado .

• CVE-2023-28862 — Bypass de Autenticação de Dois Fatores (2FA) : As versões anteriores à 2.16.1 apresentam uma geração fraca de ID de sessão no handler AuthBasic e um tratamento incorreto de falhas durante a verificação de senha. Isso permite que atacantes ignorem a verificação de 2FA .

  • Impacto: Contorno da autenticação forte em cenários específicos do AuthBasic .
  • Prioridade: Crítica apenas se sua instalação for antiga ou se código afetado foi reintroduzido. A falha foi corrigida em 2023 .

• CVE-2020-24660 — Bypass de Controle de Acesso com NGINX: Até a versão 2.0.8, era possível contornar regras de acesso a URLs em Virtual Hosts protegidos através de URIs não normalizadas quando o NGINX era usado .

  • Impacto: Acesso potencial a recursos protegidos, mesmo com regras de URL configuradas .
  • Prioridade: Relevante principalmente para instalações antigas ou configurações similares com NGINX.

• CVE-2025-59518 — Injeção de Comandos do Sistema (RCE): Esta vulnerabilidade de injeção de comandos do sistema operacional permite que administradores autenticados executem comandos arbitrários através do avaliador de regras "Safe jail" .

  • Impacto: Comprometimento total do servidor por um administrador.
  • Prioridade: Crítica para ambientes onde a segurança do administrador é uma preocupação. A correção está disponível nas versões 2.16.7 e 2.21.3 .

• Outras vulnerabilidades (CVE-2021-40874, CVE-2021-35473, etc.): A documentação de atualização menciona outras CVEs, como a CVE-2021-40874 (RESTServer pwdConfirm sempre retorna verdadeiro) e a CVE-2021-35473 (vida útil do token de acesso não verificada no OAuth2) . Também há relatos de CSRF no registro de 2FA (CVE-2024-52948) e XSS (CVE-2025-31510, CVE-2024-48933) .

O que verificar em seu código/configuração

• Redirecionamentos: Verifique o tratamento de parâmetros como url, redirect_uri, return_url e similares, especialmente relacionados ao SAML/CDC .
• Lista de permissões de domínios (allowlist) : Para mitigar a CVE-2026-12804, implemente uma lista rigorosa de domínios para redirecionamento e recuse URLs absolutas externas não esperadas .
• Normalização de URI com NGINX: Se você usa NGINX, verifique a normalização das URIs antes da aplicação das regras de autorização .
• Autenticação de Dois Fatores (2FA) e AuthBasic: Se o AuthBasic ou o 2FA estão ativos, confirme se você não está em uma versão ou caminho de código afetado pela CVE-2023-28862 .
• Acesso de Administrador: Revise as permissões de administradores que podem editar regras, devido à CVE-2025-59518 .

Limitações da análise

• Evidências insuficientes: Não há evidências para afirmar que os arquivos fechados em questão contenham uma vulnerabilidade nova e não publicada.
• Única falha confirmada para 2.23.0: A única vulnerabilidade explicitamente ligada à versão 2.23.0 nos resultados fornecidos é a CVE-2026-12804 .