Freeipa: idm: privilege escalation from host to domain admin in freeipa
A privilege escalation from host to domain vulnerability was found in the FreeIPA project. The FreeIPA package fails to validate the uniqueness of the `krbCanonicalName` for the admin account by default, allowing users to create services with the same canonical name as the REALM admin. When a successful attack happens, the user can retrieve a Kerberos ticket in the name of this service, containing the admin@REALM credential. This flaw allows an attacker to perform administrative tasks over the REALM, leading to access to sensitive data and sensitive data exfiltration.
- Опубликовано
- 17 июн. 2025 г.
- Обновлено
- 30 июн. 2026 г.
- EPSS
- 2,0 % · 80-й процентиль
- CWE
- CWE-1220
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
37
Наблюдать
Пока низкий приоритет.
- CVSS
- 36 / 40 · 9.1 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 1 / 30 · 2,0 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- нет
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- —
- CNA · redhat
- 9,1
- NVD ещё не выставил свою оценку; показана оценка CNA.
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Затронутые системы
—
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (redhat). Не зависят от анализа CPE в NVD и обычно опережают его.
Red Hat Red Hat Enterprise Linux 10
- 0:4.12.2-15.el10_0.1 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 6
- все версиинеизвестно
Red Hat Red Hat Enterprise Linux 7 Extended Lifecycle Support
- 0:4.6.8-5.el7_9.18 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8
- 8100020250603150652.143e9e98 и новеене затронута · rpm
- 8100020250603134209.823393f5 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.2 Advanced Update Support
- 8020020250609031831.50ea30f9 и новеене затронута · rpm
- 8020020250609030144.792f4060 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support
- 8040020250609101903.f153676a и новеене затронута · rpm
- 8040020250609095221.5b01ab7e и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support
- 8060020250606060927.c1533a64 и новеене затронута · rpm
- 8060020250606060504.ada582f1 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.6 Telecommunications Update Service
- 8060020250606060927.c1533a64 и новеене затронута · rpm
- 8060020250606060504.ada582f1 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.6 Update Services for SAP Solutions
- 8060020250606060927.c1533a64 и новеене затронута · rpm
- 8060020250606060504.ada582f1 и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.8 Telecommunications Update Service
- 8080020250604195510.e581a9e4 и новеене затронута · rpm
- 8080020250604202433.b0a6ceea и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions
- 8080020250604195510.e581a9e4 и новеене затронута · rpm
- 8080020250604202433.b0a6ceea и новеене затронута · rpm
Red Hat Red Hat Enterprise Linux 9
- 0:4.12.2-14.el9_6.1 и новеене затронута · rpm
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| AlmaLinux:10 | ipa-client-common | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-common | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-selinux | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-selinux-luna | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-selinux-nfast | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-server-common | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | ipa-server-dns | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | python3-ipaclient | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | python3-ipalib | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | python3-ipaserver | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:10 | python3-ipatests | до 4.12.2-15.el10_0.1 | 4.12.2-15.el10_0.1 |
| AlmaLinux:8 | bind-dyndb-ldap | до 11.6-6.module_el8.10.0+3980+d78e8e90 | 11.6-6.module_el8.10.0+3980+d78e8e90 |
| AlmaLinux:8 | custodia | до 0.6.0-3.module_el8.6.0+2881+2f24dc92 | 0.6.0-3.module_el8.6.0+2881+2f24dc92 |
| AlmaLinux:8 | ipa-client | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-client-common | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-client-epn | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-client-samba | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-common | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-healthcheck | до 0.12-5.module_el8.10.0+3980+d78e8e90 | 0.12-5.module_el8.10.0+3980+d78e8e90 |
| AlmaLinux:8 | ipa-healthcheck-core | до 0.12-5.module_el8.10.0+3980+d78e8e90 | 0.12-5.module_el8.10.0+3980+d78e8e90 |
| AlmaLinux:8 | ipa-python-compat | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-selinux | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-server | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
| AlmaLinux:8 | ipa-server-common | до 4.9.13-18.module_el8.10.0+4018+32aeeb28 | 4.9.13-18.module_el8.10.0+4018+32aeeb28 |
+96
Тот же продукт
red hat: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2025-10230Samba: command injection in wins server hook script52В плане
- CVE-2026-4631Cockpit: cockpit: unauthenticated remote code execution due to ssh command-line argument injection42В плане
- CVE-2026-76578Ipa: freeipa: freeipa: unauthenticated ldap client can obtain administrator credentials via the self-managed-token aci39Наблюдать
- CVE-2025-7493Freeipa: idm: privilege escalation from host to domain admin in freeipa36Наблюдать
- CVE-2025-49796Libxml: type confusion leads to denial of service (dos)36Наблюдать
- CVE-2025-49794Libxml: heap use after free (uaf) leads to denial of service (dos)36Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| www.freeipa.org/ freeipa | 4.12.4 | Вендор (CNA) |
| almalinux:ipa-client | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-client-common | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-client-encrypted-dns | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-client-epn | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-client-samba | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-common | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-selinux | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-selinux-luna | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-selinux-nfast | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-server | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-server-common | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| almalinux:ipa-server-dns | 4.12.2-14.el9_6.1 · AlmaLinux:9 | Реестр пакетов (OSV) |
| debian:freeipa | 4.12.4-1 · Debian:13 | Реестр пакетов (OSV) |
| red hat:ipa | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client-common | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client-debuginfo | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client-encrypted-dns | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client-epn | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-client-samba | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-common | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-debuginfo | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-debugsource | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-selinux | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| red hat:ipa-selinux-luna | 0:4.12.2-14.el9_6.1 · Red Hat:enterprise_linux:9::appstream | Реестр пакетов (OSV) |
| rocky linux:bind-dyndb-ldap | 0:11.6-6.module+el8.10.0+1960+1ed527b3 · Rocky Linux:8 | Реестр пакетов (OSV) |
| rocky linux:custodia | 0:0.6.0-3.module+el8.9.0+1371+ffa84eb9 · Rocky Linux:8 | Реестр пакетов (OSV) |
| rocky linux:ipa | 0:4.12.2-14.el9_6.1 · Rocky Linux:9 | Реестр пакетов (OSV) |
| rocky linux:ipa-healthcheck | 0:0.12-5.module+el8.10.0+1959+be225f41 · Rocky Linux:8 | Реестр пакетов (OSV) |
+8
Статус эксплойта
Есть proof of concept
Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.
Доказательство
- Репозиторий PoC на GitHub ×1
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Репозиторий PoC на GitHub | stars:7 | 2025-08-09 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- Первый PoC+53 дн.
- Сегодня30 сент. 2026 г.+470 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2025-7493с разницей 105 дн.Freeipa: idm: privilege escalation from host to domain admin in freeipa36Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Требуются права администратора.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
Влияние может выйти за пределы уязвимого компонента (область действия меняется).
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Высокие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-1220 · Insufficient Granularity of Access ControlВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
nvd-secondary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЖурнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- access.redhat.com/errata/RHSA-2025:9184
- access.redhat.com/errata/RHSA-2025:9185
- access.redhat.com/errata/RHSA-2025:9186
- access.redhat.com/errata/RHSA-2025:9187
- access.redhat.com/errata/RHSA-2025:9188
- access.redhat.com/errata/RHSA-2025:9189
- access.redhat.com/errata/RHSA-2025:9190
- access.redhat.com/errata/RHSA-2025:9191
- access.redhat.com/errata/RHSA-2025:9192
- access.redhat.com/errata/RHSA-2025:9193
- access.redhat.com/errata/RHSA-2025:9194
- access.redhat.com/security/cve/CVE-2025-4404
- bugzilla.redhat.com/show_bug.cgi?id=2364606
- pagure.io/freeipa/c/6b9400c135ed16b10057b350cc9ce42aa0e862d4
- pagure.io/freeipa/c/796ed20092d554ee0c9e23295e346ec1e8a0bf6e
- www.openwall.com/lists/oss-security/2025/09/30/6
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.