JVNDB-2026-037080

Fedora Project等の複数ベンダの製品における不十分なパーミッションまたは特権の不適切な処理に関する脆弱性

SSSDに脆弱性が発見されました。LDAPアクセスプロバイダーを使用し、かつ`ldap_access_order`に`ppolicy`または`lockout`が含まれている設定の場合、ユーザー検索が結果を返さないときにLDAPのppolicyアクセスチェックでフェイルオープン状態が発生することがあります。これにより誤って成功が返され、許可決定がキャッシュされてしまい、削除または廃止されたユーザーに対する継続的な認可が許可されてしまいます。既存の有効なアカウントコンテキストを持つリモートの攻撃者は、この脆弱性を悪用して情報へのアクセスを維持し、本来利用できなくなっているリソースに対して限定的な変更を加える可能性があります。

Fedora Project

• sssd 2.12.0

レッドハット

• Red Hat OpenShift Container Platform 4.0
• Red Hat Enterprise Linux 10.0
• Red Hat Enterprise Linux 7.0
• Red Hat Enterprise Linux 8.0
• Red Hat Enterprise Linux 9.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2479483  (CVE-2026-90462) CVE-2026-90462 sssd: SSSD: Fail-open in LDAP ppolicy access check allows continued authorization
• Red Hat Customer Portal : CVE-2026-90462 - Red Hat Customer Portal

1. 不十分なパーミッションまたは特権の不適切な処理(CWE-280) [その他]

1. CVE-2026-90462

1. National Vulnerability Database (NVD) : CVE-2026-90462

• [2026年10月08日]
    掲載