FreeIPAと389 Directory Serverの脆弱性連鎖により未認証で管理者権限を取得可能な問題が判明

要点

• LinuxのID管理システム「FreeIPA」とディレクトリデータベース「389 Directory Server」を組み合わせた環境で、未ログインの外部クライアントが管理者グループの認証情報を作成できる脆弱性チェーンが明らかになった。

• この問題は、FreeIPAのアクセス制御設定の不備（CVE-2026-76578、CVSS 9.8）と、389 Directory Serverにおける所有者照合処理の不具合（CVE-2026-76560、CVSS 7.5）の連鎖によって引き起こされる。

• FreeIPAプロジェクトは修正版となるバージョン4.13.4を公開しており、現時点で実際の攻撃への悪用事例は報告されていない。

• あわせて、IdP追加コマンドで権限確認前にPythonのeval()関数が呼び出される別の脆弱性（CVE-2026-79678、CVSS 8.1）も公表された。

• Linux環境向けID管理ソリューション「FreeIPA」およびそのバックエンドで動作する「389 Directory Server」において、未認証のクライアントが任意のKerberos IDを登録し、管理者権限を取得可能になる脆弱性チェーンが判明した。Red Hatが2026年9月8日付で公表したセキュリティ情報により明らかになったもので、FreeIPAプロジェクトからはすでに修正バージョンが公開されている。

2つの欠陥が組み合わさる脆弱性チェーンの構造

FreeIPAは、Linuxドメイン全体で誰がログインできるかを管理し、LDAP（ディレクトリサービスへ接続する通信規約）経由でアクセスされる389 Directory Serverデータベース内にすべてのID情報を保持するシステムである。Red Hat環境では「Identity Management（ipaパッケージ）」として提供されている。

今回報告された攻撃手法は、FreeIPAと389 Directory Serverのそれぞれに存在する2つの不具合が重なることで成立する。

1つ目の不具合は、FreeIPAが標準で提供しているACI（アクセス制御命令）の設定に関するものだ（CVE-2026-76578、CVSS 9.8）。このルールはユーザー自身がワンタイムパスワード（OTP）トークンを管理できるようにするためのものだが、クライアントがログイン済みであることを要求しておらず、トークンと同時に書き込める他の属性情報も制限していなかった。

2つ目の不具合は、389 Directory Server側のアクセス制御エンジンに存在する欠陥である（CVE-2026-76560、CVSS 7.5）。このソフトウェアには「認証されたエントリ所有者のみ」にアクセスを許可するルールタイプが存在する。この判定処理ではクライアント名と保存された所有者値が平文で比較されるが、ログインしていないクライアントの名前は「空」として扱われるため、データベース側の空の値と一致してしまうという問題があった。

この2つの問題が合わさることで、攻撃者は匿名状態のまま所有者フィールドを空にしたトークンエントリを作成し、所有者判定をすり抜けた上で、Kerberos（ネットワーク認証プロトコル）のIDとパスワードを書き込むことが可能になるという。Red Hat Directory Server単体ではデフォルトでこのようなルールを含まないものの、FreeIPAのデフォルト構成がこの形状に合致していたため、初期状態のインストール環境で脆弱性チェーンが成立したと説明されている。

過去の修正との関係と影響の範囲

本攻撃手法は、過去に修正された脆弱性（CVE-2026-13097）の経緯とも関連している。以前報告された手法は実在の管理者アカウント名と重複するKerberos名を作成してなりすますものだった。FreeIPA 4.13.3で名前の重複を防ぐ修正が行われたものの、未認証で書き込みが行える根本的な問題は残されていた。今回の手法では攻撃者が任意のアカウント名を指定することで、実質的に同様の結果を得られるとRed Hatは指摘している。

影響の評価について、関係プロジェクトの間で表現に差異も見られる。Red Hatはこの欠陥により正規の管理者グループへの所属と再利用可能な管理者認証情報が得られるとしている。一方、FreeIPAプロジェクト側は、注入されるIDは既存のものでない必要があり、過去の修正によって既存アカウントの乗っ取りは防がれているとした上で、管理者特権への踏み台として利用される可能性があるという、より限定的な表現にとどめている。

Red Hatはバージョン4.13.1を実行する標準的なコンテナイメージなどで再現性を確認しているが、公表されたアドバイザリやバグ報告において、実際の攻撃に悪用された事例は確認されていない。なお、Windows形式のセキュリティ識別子（SID）を使用する環境では、認証データを含むKerberosチケットを取得することで、サーバーのHTTPサービスやDogtag（FreeIPA内蔵の認証局システム）へのアクセス拡大につながる可能性があるとされている。

権限チェック前にeval()を実行する別の脆弱性も公表

Red Hatは今回の脆弱性チェーンとは別に、FreeIPAに関するもう1つの脆弱性（CVE-2026-79678、CVSS 8.1）も同時に公開した。

この問題は、IdP（IDプロバイダー）を追加する「idp-add」コマンドにおいて、利用者が入力した組織名とベースURLの2つの値がPythonのeval()関数に渡されていることに起因する。この処理はIdP管理者にコマンド実行を制限するための権限チェックよりも前に実行されるため、権限の有無にかかわらずサーバー上の任意のアカウントから呼び出しが可能となっている。

ただし、入力パターンによって括弧の使用が禁止されているため関数呼び出しはブロックされ、Red Hatはコード実行は不可能であると説明している。攻撃者に可能な操作は、サーバーが返すエラー内容を観察してプロセスの環境変数を1つずつ読み取ることや、短い算術式を用いてサーバーのメモリを消費させることに限られる。影響度については導入形態によって異なり、通常のパッケージインストール環境では公開されたパスや設定値のみが環境変数に含まれる一方、コンテナ環境では管理用パスワードなどが含まれる場合があるとされている。