OpenLDAP in seltenen Fällen angreifbar

Eine Lücke in OpenLDAP ermöglicht Angreifern, Schadcode in eine Servern zu schleusen und auszuführen. Laut Bericht sind dazu aber bestimmte, seltene Rahmenbedingungen erforderlich: Die Authentifizerung muss mit Kerberos 4 erfolgen und OpenLDAP muss dazu mit der Option --enable-kbind kompiliert worden sein. Seit Version 2.0.2 ist dies standardmäßig nicht mehr der Fall, seit 2.1 ist es in den Skripten gar nicht mehr zu finden. Allerdings lässt sich die Option beziehungsweise der auch noch in Version 2.4.3 enthaltene verwundbare Code weiterhin manuell aktivieren.

Sofern der seltene Fall gegeben ist, kann der Angreifer mit einem Bind-Request, der mehr als 1250 Bytes Authentifizierungsinformationen enthält, einen Buffer Overflow auslösen und darüber Code einschleusen. Ein Demo-Exploit steht zum Download bereit.

Siehe dazu auch:

• OpenLDAP kbind authentication remote exploit, Fehlerbericht von Solar Eclipse

(dab)