根據 Red Hat 與 FreeIPA 專案的最新披露，一個危險的漏洞鏈（Vulnerability Chain）被發現存在於 FreeIPA 身份管理系統中。該漏洞鏈允許完全未經認證的匿名用戶，在無需登入的情況下，於系統目錄中創建自定義的 Kerberos 身份，並最終獲取管理員權限。由於此漏洞在預設安裝環境中即可觸發，Red Hat 將其中一個關鍵漏洞（CVE-2026-76578）評級為「嚴重」（Critical），CVSS 評分高達 9.8。
背景與核心組件
要理解此攻擊路徑，必須先認識 FreeIPA 的運作機制。FreeIPA 是一個用於 Linux 網域的身份管理系統，負責決定誰可以登入系統。其核心由兩個主要組件組成：一個是 389 Directory Server，這是一個基於 LDAP（輕量級目錄訪問協定）的資料庫，用來儲存所有的身份資訊；另一個是 Kerberos，一種用於網路認證的協定，確保用戶身份在分散式環境中能被安全地驗證。
這次的攻擊並非單一漏洞造成，而是由 FreeIPA 的配置缺陷與 389 Directory Server 的邏輯漏洞共同構成的漏洞鏈。
漏洞鏈的運作方式
這場攻擊的第一個環節出在 FreeIPA 的訪問控制規則（ACI, Access Control Instruction）。ACI 是用來定義誰有權限讀寫目錄中特定數據的規則。FreeIPA 預設提供了一項 ACI，允許用戶管理自己的一次性密碼（OTP）令牌。然而，這項規則存在兩個重大缺陷：第一，它不要求客戶端必須先完成登入認證；第二，它沒有限制用戶在寫入令牌時，能否同時寫入其他類型的數據。
然而，僅有 ACI 的缺陷尚不足以導致系統崩潰，真正的危險來自於 389 Directory Server 的第二個漏洞（CVE-2026-76560）。該資料庫伺服器有一種權限檢查機制，旨在確保「只有經過認證的條目擁有者」才能修改數據。在執行檢查時，系統會將客戶端的名稱與儲存的名稱以純文字形式進行比對。
問題在於，當一個匿名客戶端嘗試訪問時，其名稱為空。如果攻擊者創建一個擁有權欄位同樣為空的令牌條目，系統在比對時會發現「空值等於空值」，從而判定檢查通過。利用這個邏輯漏洞，匿名攻擊者可以繞過身份驗證，在目錄中寫入一個自定義的 Kerberos 身份及其密碼。
權限提升與實務影響
一旦攻擊者成功注入自定義的 Kerberos 身份，他們就能在系統中建立一個可重複使用的管理員憑據。雖然早前的修補程式（CVE-2026-13097）防止了攻擊者直接冒用現有的管理員帳號名稱，但現在攻擊者只需創建一個全新的身份，並將其加入管理員群組，即可達到相同的實質效果：獲取完整的系統管理權限。
對於使用 Windows 風格安全識別碼（SID）的部署環境，影響更為嚴重。攻擊者可以獲取包含授權數據的 Kerberos 票據，進而擴展攻擊範圍，訪問伺服器的 HTTP 服務以及 Dogtag（FreeIPA 內建的憑證授權中心，負責管理數位憑證）。
除了上述漏洞鏈，Red Hat 同時披露了另一個獨立漏洞（CVE-2026-79678）。該漏洞存在於 idp-add 命令中，由於在權限檢查之前就將用戶輸入的組織名稱與 URL 傳入 Python 的 eval() 函數，導致攻擊者可以透過觀察伺服器回傳的錯誤訊息，逐步讀取伺服器進程的環境變數。在容器化部署環境中，這可能導致初始化時設定的 Directory Manager 或管理員密碼洩漏。
限制與緩解措施
目前 FreeIPA 專案已在 4.13.4 版本中修復了相關漏洞。對於無法立即更新的環境，Red Hat 建議採取以下臨時措施：首先，利用防火牆或網路分段限制對 LDAP 服務（通常為 389 與 636 端口）的訪問，僅允許信任的主機連接。其次，關閉匿名 LDAP 綁定（Anonymous LDAP Binds），這能直接阻斷該漏洞鏈的攻擊路徑，但管理員需先確認此操作不會影響其他依賴匿名訪問的業務功能。
針對環境變數洩漏的風險，建議運行容器化安裝的用戶檢查啟動後的進程環境，確認初始化密碼是否已從環境變數中清除。
值得注意的是，目前的技術公告尚未提供檢測規則或入侵指標（IoC），且不確定單獨更新 389 Directory Server 是否足以在不更新 FreeIPA 封裝的情況下阻斷攻擊。此外，修補程式僅能防止新攻擊，無法自動刪除攻擊者在漏洞修復前已創建的非法身份，管理員需自行審核目錄中的異常帳號。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。