Bulletin d'alerte Debian

DLA-3436-1 sssd -- Mise à jour de sécurité pour LTS

Date du rapport :
29 mai 2023
Paquets concernés :
sssd
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 919051, Bogue 931432, Bogue 992710.
Dans le dictionnaire CVE du Mitre : CVE-2018-16838, CVE-2019-3811, CVE-2021-3621, CVE-2022-4254.
Plus de précisions :

Plusieurs vulnérabilités ont été trouvées dans sssd, un ensemble de démons pour gérer l’accès à des répertoires distants et de mécanismes d’authentification, qui pouvaient conduire à une élévation des privilèges.

  • CVE-2018-16838

    Il a été découvert que quand GPO (Group Policy Objects) ne sont pas lisibles par SSSD à cause de permissions trop strictes du côté serveur, SSSD permettait à tous les utilisateurs authentifiés de se connecter au lieu de refuser l’accès.

    Un nouveau réglage booléen ad_gpo_ignore_unreadable (par défaut à False) est introduit pour les environnements où les attributs dans le groupPolicyContainer ne sont pas lisibles et le changement des permissions des objets GPO n’est pas possible ou désirable. Consulter sssd-ad(5).

  • CVE-2019-3811

    Il a été découvert que si un utilisateur était configuré sans répertoire home, alors sssd(8) renvoies / (c’est-à-dire, le répertoire racine) au lieu de la chaine vide (signifiant pas de répertoire home). Cela pouvait impacter des services qui restreignaient l’accès au système de fichiers de l’utilisateur qu’à partir de leur répertoire à travers un chroot() ou de manière similaire.

  • CVE-2021-3621

    Il a été découvert que la commande sssctl(8) était vulnérable à une injection de commande d’interpréteur à l’aide des sous-commandes logs-fetch et cache-expire.

    Ce défaut pouvait permettait à un attaquant d’amener l’utilisateur root à exécuter une commande sssctl(8) contrefaite pour l'occasion, par exemple à l’aide sudo, dans le but d’obtenir les droits du superutilisateur.

  • CVE-2022-4254

    Il a été découvert que libsss_certmap échouait à nettoyer les données de certificat dans les filtres LDAP.

    PKINIT autorise un client de s’authentifier auprès de KDC en utilisant un certificat X.509 et la clé privée correspondante, plutôt qu’avec une phrase de passe ou un fichier keytab. Les règles de mappage sont utilisées pour faire correspondre le certificat présenté durant une requête d’authentification PKINIT au certificat principal correspondant. Cependant, il a été découvert que le filtre de mappage était vulnérable à une injection de filtre LDAP. Comme le résultat des recherches est influencé par les valeurs dans le certificat pouvant être contrôlé par un attaquant, ce défaut pouvait permettre à celui-ci de contrôler le compte de l’administrateur, conduisant à une prise de contrôle complète du domaine.

Pour Debian 10 Buster, ces problèmes ont été corrigés dans la version 1.16.3-3.2+deb10u1.

Nous vous recommandons de mettre à jour vos paquets sssd.

Pour disposer d'un état détaillé sur la sécurité de sssd, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/sssd.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.