Uma vulnerabilidade de instanciação de objeto arbitrário não autenticado no LDAP Account Manager (LAM) foi descoberta durante um teste de penetração interno.

LAM é um aplicativo web PHP para gerenciar entradas como usuários, grupos ou configurações de DHCP em diretórios LDAP por meio de um front-end web amigável e é uma das alternativas ao FreeIPA. Está incluído nos repositórios Debian.

Mas uma vulnerabilidade descoberta pelo pesquisador Arseniy Sharoglazov pode permitir que um invasor crie objetos arbitrários e obtenha execução remota de código (RCE) em uma solicitação e sem conexões fora de banda.

Divulgação coordenada

Sharoglazov diz que o processo de divulgação foi rápido e eficiente. Ele relatou a falha pela primeira vez em 16 de junho, com o LAM 8.0.1 lançado em 29 de junho , os pacotes Debian atualizados em 5 de julho e a divulgação pública em 14 de julho.

“Escrevi para Roland Gruber, o desenvolvedor do LAM, e recebi uma resposta inicial em apenas uma hora”, diz ele.

“Discutimos o que precisa ser feito para corrigir as vulnerabilidades e o processo de fortalecimento que tornará a LAM muito mais segura. Depois, fizemos uma divulgação coordenada com ele e o Debian.”

Siga o link: https://portswigger.net/daily-swig/ldap-account-manager-bug-poses-unauthenticated-remote-code-execution-risk

Créditos da imagem: https://icon-library.com/icon/ldap-icon-4.html.html>Ldap Icon # 353947