Heimdall Security Logo

CVE-2024-2698

Vulnérabilité élevée

CVSS 8.8 · Élevée
EPSS 0.7%
•Versions : 8100020240528133707.823393f5, 0:4.11.0-15.el9_4, 4.11.0, 4.12.0, 8080020240530051744.b0a6ceea, <*, 0:4.10.1-12.el9_2.2, <4.12.1, <4.11.2

Description

A vulnerability was found in FreeIPA in how the initial implementation of MS-SFU by MIT Kerberos was missing a condition for granting the "forwardable" flag on S4U2Self tickets. Fixing this mistake required adding a special case for the check_allowed_to_delegate() function: If the target service argument is NULL, then it means the KDC is probing for general constrained delegation rules and not checking a specific S4U2Proxy request. In FreeIPA 4.11.0, the behavior of ipadb_match_acl() was modified to match the changes from upstream MIT Kerberos 1.20. However, a mistake resulting in this mechanism applies in cases where the target service argument is set AND where it is unset. This results in S4U2Proxy requests being accepted regardless of whether or not there is a matching service delegation rule.

Gravité et risque d'exploitation

CVE-2024-2698 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.67 %, ce qui la place devant 51.0 % des CVE référencées.

Que faire ?

  • Vérifiez si le produit concerné (versions 8100020240528133707.823393f5, 0:4.11.0-15.el9_4, 4.11.0, 4.12.0, 8080020240530051744.b0a6ceea, <*, 0:4.10.1-12.el9_2.2, <4.12.1, <4.11.2) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE