CVE-2026-86345: Bypass di StartTLS in 389-ds-base

StartTLS in 389-ds-base permette attacco on-path con iniezione LDAP e bypass di autenticazione.

Il CVE-2026-86345 è una vulnerabilità critica nel server LDAP 389-ds-base durante la negoziazione StartTLS. Quando il server accetta l'upgrade da connessione non crittografata a TLS, non scarta i byte in chiaro già bufferizzati dal client. Un attaccante on-path può iniettare un messaggio LDAP forgiato processato dopo l'upgrade TLS: il messaggio collide per messageID con un'operazione legittima del client. Conseguenza: autenticazioni LDAP fallite possono essere comunicate al client come riuscite, aprendo accesso a risorse protette.

La gravità è massima: CVSS 9,0 (critical). L'impatto diretto è il bypass dell'autenticazione LDAP, meccanismo critico dove i server LDAP gestiscono identità e risorse in ambienti corporate. Il requisito on-path non riduce il rischio in reti ibride o cloud con segmentazione debole. La comunità tecnica ha segnalato analisi dettagliate il 2026-11-03, coerenti con NVD (2026-10-02). Sfruttamento attivo massivo non confermato, ma la disponibilità di dettagli tecnici accelera i tempi di ricerca.

Amministratori e team di sicurezza devono agire subito: identificare tutti i server 389-ds-base in produzione, contattare il vendor per stato patch e tempistica, applicare aggiornamenti non appena disponibili. Implementare network segmentation per isolare LDAP da segmenti non attendibili, logging su bind falliti seguiti da operazioni autorizzate, verificare integrità certificati TLS durante StartTLS. Dove possibile, disabilitare StartTLS a favore di connessioni LDAPS su porte dedicate.

In sintesi

Cosa: Il CVE-2026-86345 riguarda una falla nella negoziazione StartTLS di 389-ds-base (server LDAP). Durante l'upgrade da connessione in chiaro a TLS, il server non scarta i byte in chiaro già bufferizzati dal client. Un attaccante on-path può iniettare un messaggio LDAP forgiato che viene processato dopo l'upgrade TLS: la risposta raggiunge il client al posto di quella dell'operazione del client, per collisione di messageID. Conseguenza: un bind (autenticazione) fallito può essere interpretato dal client come riuscito.
Gravità: CVSS 9,0 (critical). Il bypass di autenticazione LDAP è una violazione critica: i server LDAP sono trust store centrale di identità in ambienti corporate, gestendo accessi a risorse, database e sistemi. Il requisito di posizionamento on-path non riduce il rischio in reti ibride, cloud con segmentazione debole, o data center dove un attaccante ha accesso a segmenti esposti. Comunità tecnica segnala write-up il 2026-11-03, coerenti con NVD (2026-10-02). Sfruttamento attivo pubblico non confermato.
Versioni interessate: non riportato
Correzione: non riportato nel database NVD. Consultare il progetto 389-ds-base sui suoi canali ufficiali (repository, security mailing list, sito di progetto) per informazioni su patch, timeline di rilascio e versioni corrette.
Stato: Pubblicato su NVD il 2026-10-02. Segnali social (write-up tecnico) il 2026-11-03. Non è confermato sfruttamento attivo pubblico in larga scala. La disponibilità di descrizioni tecniche dettagliate accelera i tempi di ricerca di attaccanti.
Azione: Inventariare tutti i server 389-ds-base in produzione. Contattare vendor per stato patch e timeline. Applicare aggiornamenti non appena disponibili. Implementare network segmentation per isolare LDAP da segmenti non fiduciosi, monitorare bind falliti seguiti da operazioni autorizzate, verificare integrità certificati durante StartTLS, disabilitare StartTLS a favore di LDAPS (LDAP over TLS) su porte dedicate dove possibile.

Fonti: NVD, CVE-2026-86345

← Tutti gli articoli