CVE-2026-79678
Publiée le 2026-09-07 · Dernière modification le 2026-10-26
Les serveurs FreeIPA sont affectés par une faille dans la commande `idp-add` qui ne valide pas correctement certains paramètres d'entrée. Tout utilisateur disposant d'un compte IPA valide peut exploiter cette vulnérabilité via le réseau, sans interaction supplémentaire, pour voler des variables d'environnement du serveur ou provoquer l'arrêt du service par épuisement de la mémoire. Comme elle ne nécessite qu'une authentification de bas niveau et est facile à exécuter, elle présente un risque significatif pour la confidentialité et la disponibilité du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in FreeIPA's idp-add command, where insufficiently validated --organization/--base-url input reaches a constrained eval() call before the corresponding LDAP access control check is enforced. This allows any authenticated IPA principal, regardless of privilege level, to enumerate and read the environment variables of the affected server process and to cause denial of service via memory exhaustion.