FICHE CVE

CVE-2026-53658

Publiée le 2026-09-15 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les installations de Hyperledger Fabric CA configurées avec un backend LDAP sont concernées. Un attaquant non authentifié disposant d'un accès réseau au point de terminaison d'enrôlement peut utiliser des noms d'utilisateur spécialement conçus pour manipuler les recherches LDAP, redirigeant potentiellement les tentatives d'authentification vers le compte d'un autre utilisateur. Cette opération est relativement facile à exécuter car elle ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-09-15

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Fabric CA is a Certificate Authority for Hyperledger Fabric. Prior to 1.5.21, when fabric-ca is configured with an LDAP backend, Client.GetUser in lib/server/ldap/client.go inserts the username from HTTP Basic authentication into the LDAP uid search UserFilter without escaping LDAP metacharacters. An unauthenticated attacker with network access to the CA enrollment endpoint can alter the LDAP search before password validation and potentially steer authentication attempts toward a victim account. Deployments that do not use an LDAP backend are unaffected. This issue is fixed in version 1.5.21.