Čo sa stalo
FreeIPA je open-source systém na centrálnu správu používateľov, počítačov a prihlasovania v linuxových sieťach. Red Hat ho dodáva ako Red Hat Identity Management (IdM), súčasť Red Hat Enterprise Linux (RHEL). Vo FreeIPA našli kritickú chybu s označením CVE-2026-76578, ktorú databáza NVD zverejnila 7. septembra 2026.
Podľa popisu chyby sa útočník, ktorý sa vôbec neprihlási, môže dostať do skupiny administrátorov FreeIPA. Red Hat chybu označil ako kritickú a opravy vydal postupne: pre RHEL 9 dňa 23. septembra 2026, pre RHEL 10 dňa 28. septembra 2026 a pre vetvy s predĺženou podporou RHEL 9.6 EUS a RHEL 10.0 EUS dňa 14. októbra 2026.
Tie isté aktualizácie opravujú aj ďalšie chyby vo FreeIPA. Red Hat medzi nimi uvádza dve chyby, ktoré umožňujú bez prihlásenia vyradiť službu z prevádzky, chybu typu cross-site scripting a niekoľko chýb, ktoré môžu viesť k neoprávneným zmenám v adresári alebo k zvýšeniu oprávnení.
Zneužívanie v praxi zatiaľ nepotvrdil Red Hat, americká agentúra CISA ani európska databáza zraniteľností EUVD, ktorú prevádzkuje agentúra ENISA. V EUVD je chyba vedená ako EUVD-2026-72356 bez záznamu o zneužití.
Prečo je to nebezpečné
Ide o chybu typu „chýbajúce overenie pri kritickej funkcii“ (CWE-306). FreeIPA ukladá údaje do adresára LDAP a o tom, kto smie čo meniť, rozhodujú pravidlá prístupu (ACI). Pravidlo, ktoré má používateľom dovoliť spravovať si vlastné jednorazové heslá (OTP tokeny), podľa popisu chyby nevyžaduje prihlásenie a neobmedzuje, aké ďalšie údaje sa pri tom zapíšu.
Predstavte si schránku na vrátnici, kam zamestnanci vhadzujú žiadosti o nový čip na dochádzku. Nikto nekontroluje, kto žiadosť vhodil, ani či k nej nepriložil aj „povolenie“ na kľúč od serverovne. Podľa popisu chyby útočník v kombinácii s ďalšou, samostatne evidovanou chybou v adresárovom serveri, na ktorom FreeIPA beží, dokáže vytvoriť vlastný účet Kerberos a dostať ho medzi administrátorov.
Útočník nepotrebuje heslo ani pomoc používateľa, stačí mu sieťový prístup k LDAP službe servera FreeIPA. Získa skutočné členstvo v skupine administrátorov a môže vykonávať správcovské operácie v adresári. Na nasadeniach so zapnutými SID (identifikátormi ako vo Windows, používajú sa napríklad pri prepojení s Active Directory) môže zasahovať aj do ďalších služieb IdM. Kto ovláda FreeIPA, spravidla ovláda prihlasovanie a práva na všetkých pripojených serveroch.
- CVSS 9,8 z 10: skóre pridelil Red Hat podľa CVSS 3.1. CVSS meria technickú závažnosť chyby, 9,8 je kritická úroveň.
- CISA KEV: katalóg chýb, o ktorých americká agentúra CISA vie, že sa reálne zneužívajú. Táto chyba v ňom v čase písania nie je.
- EPSS 1,2 %: odhad pravdepodobnosti zneužitia v nasledujúcich 30 dňoch k 1. novembru 2026. Je to viac ako pri približne 68 % ostatných zraniteľností.
Koho sa to týka
Týka sa to organizácií, ktoré používajú FreeIPA alebo Red Hat Identity Management na centrálnu správu používateľov a prihlasovania. Typicky ide o firemné siete s linuxovými servermi, kde IPA server slúži ako linuxová obdoba Active Directory, často s ním aj prepojená.
Red Hat uvádza ako dotknuté balíky ipa v týchto produktoch:
- Red Hat Enterprise Linux 9 vrátane vetiev s predĺženou podporou 9.8
- Red Hat Enterprise Linux 9.6 EUS, AUS a Update Services for SAP Solutions
- Red Hat Enterprise Linux 10 vrátane vetiev s predĺženou podporou 10.2
- Red Hat Enterprise Linux 10.0 EUS
- všetky architektúry: x86_64, ARM 64, IBM Power a IBM Z
Zraniteľná je adresárová služba na serveroch FreeIPA, Red Hat však v tej istej aktualizácii vydáva aj klientske balíky. FreeIPA existuje aj v iných linuxových distribúciách. Ak ju prevádzkujete mimo RHEL, sledujte bezpečnostné oznámenia svojej distribúcie. Kto FreeIPA ani IdM nepoužíva, tejto chyby sa netýka.
Ako zistiť, či ste zasiahnutí
Všetky príkazy nižšie iba čítajú údaje a nič nemenia. Spustite ich na každom IPA serveri vrátane replík.
Verzia systému a nainštalovaných balíkov FreeIPA:
cat /etc/redhat-release
rpm -q ipa-server ipa-clientPorovnajte výsledok s opravenými verziami: RHEL 9 ipa-4.13.4-1.el9_8, RHEL 10 ipa-4.13.4-1.el10_2, RHEL 9.6 EUS ipa-4.12.2-14.el9_6.8, RHEL 10.0 EUS ipa-4.12.2-15.el10_0.7. Rovnaká alebo novšia verzia znamená, že oprava je nainštalovaná.
Či ešte čakáte na opravu tejto chyby, ukáže databáza aktualizácií. Ak príkaz nič nevypíše, oprava je už nainštalovaná alebo sa systému netýka:
dnf updateinfo list --cve CVE-2026-76578Či server prijíma spojenia na portoch LDAP (389 a 636), zistíte takto. Potom na firewalle overte, z ktorých sietí sú tieto porty dostupné:
ss -tln | grep -E ':389|:636'Ako to opraviť
Red Hat vydal opravené balíky v bezpečnostných oznámeniach RHSA-2026:70564 (RHEL 9), RHSA-2026:72279 (RHEL 10), RHSA-2026:83083 (RHEL 9.6 EUS) a RHSA-2026:82935 (RHEL 10.0 EUS). Opravené verzie sú ipa-4.13.4-1.el9_8, ipa-4.13.4-1.el10_2, ipa-4.12.2-14.el9_6.8 a ipa-4.12.2-15.el10_0.7.
- Zálohujte IPA server, napríklad nástrojom
ipa-backup(pri bežnej zálohe na chvíľu zastaví služby) alebo snímkou virtuálneho stroja. - Aktualizujte najprv servery dostupné z najväčšieho počtu sietí, potom všetky ostatné repliky. Každá neopravená replika zostáva zraniteľná.
- Aktualizujte celý systém, nielen balíky ipa. Popis chyby spomína súvisiacu, samostatne evidovanú chybu v adresárovom serveri.
- Po aktualizácii overte, že všetky služby FreeIPA bežia, a skontrolujte verziu príkazmi zo sekcie o kontrole.
- Nakoniec aktualizujte klientske počítače.
sudo dnf update
sudo ipactl statusRed Hat v oznámeniach neuvádza dočasné riešenie. Kým aktualizáciu nenainštalujete, obmedzte na firewalle prístup k portom LDAP (389 a 636) len na siete a počítače, ktoré ho naozaj potrebujú. Ide o všeobecné bezpečnostné opatrenie, nie o postup výrobcu, a chybu neodstraňuje.
Čo ak už ste mohli byť napadnutí
Red Hat v oznámeniach neuvádza konkrétne indikátory napadnutia. Keďže chyba vedie k neoprávnenému členstvu v skupine administrátorov, sústreďte sa práve na ňu. Nasledujúce príkazy len čítajú, vyžadujú však prihlásenie správcu cez kinit admin.
ipa group-show admins --all --raw
ipa user-find --all
ipa host-find
ipa service-find
ipa otptoken-find- neznámi alebo nedávno pridaní členovia skupiny
admins(prepínač--rawukáže aj členov, ktorí nie sú bežnými používateľmi) - nové používateľské, hostiteľské či servisné účty, ktoré nikto z vás nezaložil
- OTP tokeny, ktoré nepatria známym používateľom
- v logoch adresárového servera v
/var/log/dirsrv/zápisy z neprihlásených (anonymných) spojení
Ak nájdete niečo podozrivé, berte to ako prevzatie celej domény FreeIPA, pretože administrátor mohol meniť heslá, práva a nastavenia na všetkých pripojených serveroch. Vtedy prizvite odborníka na riešenie incidentov. Pred zásahom zálohujte logy a podozrivé účty nemažte, kým ich niekto nepreskúma.