Vulnérabilité dans lemonldap-ng (DEBIAN-CVE-2026-19349)
Résumé
Vulnérabilité dans lemonldap-ng (DEBIAN-CVE-2026-19349). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via kind. Atténuation : mise à jour vers 2.16.1+ds-deb12u9 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Lemonldap::NG::Portal versions from 2.0.0 before 2.16.9, from 2.17.0 before 2.21.5, from 2.22.0 before 2.23.3 for Perl allow authentication bypass via an OAuth2 state parameter stored as an SSO session in the GitHub and LinkedIn backends. Before redirecting to the identity provider, extractFormInfo() creates the state session with the positional call getApacheSession( undef, 1, 0, 'GitHubState' ). getApacheSession() takes a session id followed by a named argument hash, so the trailing arguments become that hash, kind defaults to SSO, and the state is written to the global session storage as a regular SSO session. Its identifier is handed to the unauthenticated visitor as the state parameter of the redirection URL. Any visitor who reaches the GitHub or LinkedIn endpoint can replay that identifier as a session cookie and obtain a valid SSO session without authenticating. The session holds neither _user nor authenticationLevel, which the shipped bootstrap configuration accepts because it grants virtual hosts a "default => accept" access rule; deployments whose rules test the user or require an authentication level are less exposed. Only configurations with the GitHub or LinkedIn authentication module enabled are affected.
Source: OSV.dev (Open Source Vulnerabilities) OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée DEBIAN-CVE-2026-19349 a été découverte dans lemonldap-ng.
Des attaquants peuvent cibler un point d'entrée spécifique comme kind à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système.
Action : mettez à jour lemonldap-ng vers 2.16.1+ds-deb12u9 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « lemonldap-ng DEBIAN-CVE-2026-19349 » sur le site de l'éditeur.
DEBIAN-CVE-2026-19349 (lemonldap-ng)
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : kind
Correctif : 2.16.1+ds-deb12u9 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (non classée) affecte lemonldap-ng. Les attaquants atteignent le code vulnérable via kind sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de lemonldap-ng. Surface d'attaque : kind.
Gravité : ?. L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 2.16.1+ds-deb12u9.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'lemonldap-ng' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
lemonldap-ngを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade lemonldap-ng to 2.16.1+ds-deb12u9ステージング環境で 2.16.1+ds-deb12u9 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory security-tracker.debian.org