TraccarのLDAP認証に脆弱性、修正版6.17.0
Summary
Traccar 3.15以降6.17.0より前でLDAP認証を使う環境では、ユーザー名が分かれば空のパスワードで管理者を含む任意のアカウントにログインされるおそれがあります。6.17.0に更新し、ディレクトリ側の設定も確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Traccar 3.15以降6.17.0より前でLDAP認証を使う環境では、ユーザー名が分かれば空のパスワードで管理者を含む任意のアカウントにログインされるおそれがあります。6.17.0に更新し、ディレクトリ側の設定も確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| TraccarTraccar |
≥ 3.15, < 6.17.0→ 6.17.0 |
6.17.0 |
Original description The description as published by the source.
Traccar 3.15 before 6.17.0 contains an authentication bypass vulnerability in LdapProvider.login() that fails to reject empty passwords, causing LDAP binds to be performed as unauthenticated binds when LDAP authentication is enabled. Unauthenticated attackers who know a valid username can log in via POST /api/session or HTTP Basic authentication with an empty password against directories that permit unauthenticated binds, obtaining sessions for any account including administrators.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com