Το LemonLDAP NG επηρεάζεται από τη νέα ευπάθεια CVE-2026-95811, η οποία μπορεί να παρακάμψει κανόνες πρόσβασης όταν μια διαδρομή γραφτεί με διαφορετική, αλλά ισοδύναμη, μορφή. Το πρόβλημα αφορά εγκαταστάσεις που χρησιμοποιούν το στοιχείο Handler για Perl και χρειάζεται άμεσος έλεγχος των εκδόσεων.
Η ανακοίνωση του CVE Alert περιγράφει μια ασυμφωνία ανάμεσα στη διεύθυνση που ελέγχουν οι κανονικές εκφράσεις και στη διαδρομή που τελικά επεξεργάζεται ο διακομιστής. Δεν έχει δημοσιευτεί βαθμολογία CVSS ή ένδειξη ότι η αδυναμία αξιοποιείται ενεργά.
Δείτε επίσης: GitLab: Κρίσιμη ευπάθεια path traversal απαιτεί άμεση ενημέρωση
Πώς λειτουργεί η ευπάθεια στο LemonLDAP NG
Το LemonLDAP NG χρησιμοποιεί κανόνες locationRules για να αποφασίσει αν μια διεύθυνση URL θα επιτρέπεται, θα απορρίπτεται ή θα απαιτεί συγκεκριμένη ταυτότητα και ομάδα. Στις ευάλωτες εκδόσεις, ο Handler για Perl συγκρίνει τους κανόνες με το REQUEST_URI, δηλαδή με την αρχική μορφή της αίτησης.
Αργότερα, ο διακομιστής ιστού μπορεί να αποκωδικοποιήσει και να κανονικοποιήσει τη διαδρομή πριν τη δρομολογήσει. Έτσι, μια διεύθυνση με κωδικοποιημένο χαρακτήρα, τμήματα τελείας ή διπλή κάθετο μπορεί να καταλήξει στον ίδιο προστατευμένο πόρο, χωρίς όμως να ταιριάξει με την κανονική έκφραση του κανόνα.
Η παράκαμψη δεν σημαίνει ότι ένας επισκέπτης αποκτά αυτόματα πλήρη πρόσβαση. Επηρεάζονται κυρίως εικονικοί υπολογιστές όπου το προεπιλεγμένο αποτέλεσμα είναι πιο επιτρεπτικό από τους ειδικούς κανόνες. Σε μια τέτοια διαμόρφωση, ένας ήδη πιστοποιημένος χρήστης μπορεί να φτάσει σε URL που οι διαχειριστές είχαν περιορίσει με κανόνα.
Η τεχνική περιγραφή της καταχώρισης επισημαίνει ότι μπορούν να παρακαμφθούν κανόνες άρνησης, συνθήκες ταυτότητας ή ομάδας, καθώς και κανόνες unprotect και skip. Το πραγματικό αποτέλεσμα εξαρτάται από τις ρυθμίσεις κάθε εικονικού υπολογιστή και από τα δικαιώματα που δίνει ο προεπιλεγμένος κανόνας.
Επηρεαζόμενες εκδόσεις του LemonLDAP NG
Η καταχώριση της CVE-2026-95811 καλύπτει το Handler για Perl από την έκδοση 2.0.0 έως πριν από την 2.16.10, από την 2.17.0 έως πριν από την 2.21.6 και από την 2.22.0 έως πριν από την 2.23.4. Οι διορθωμένες εκδόσεις είναι αντίστοιχα οι 2.16.10, 2.21.6 και 2.23.4.
Η εικόνα είναι ιδιαίτερα χρήσιμη για διαχειριστές που χρησιμοποιούν κλάδους μακροχρόνιας υποστήριξης. Η σελίδα του έργου για την πολιτική υποστήριξης εκδόσεων δείχνει ότι οι σειρές 2.16.x και 2.21.x παραμένουν σημαντικές για οργανισμούς που δεν μπορούν να μεταβούν άμεσα στην πιο πρόσφατη έκδοση.
Υπάρχει επίσης διαφορά ανάμεσα στην έκδοση του έργου και στα πακέτα της διανομής. Το Debian Security Tracker καταγράφει την ευπάθεια ως ανοικτή για τα bookworm και trixie, ενώ τη δείχνει διορθωμένη στο sid. Επομένως, δεν αρκεί η αναζήτηση της έκδοσης μέσα στο περιβάλλον του έργου· χρειάζεται έλεγχος του πακέτου που παρέχει το λειτουργικό σύστημα.
Δείτε επίσης: Έκδοση nvm 0.40.8: Επείγουσα ενημέρωση για path traversal
Τι πρέπει να ελέγξουν οι διαχειριστές
Η προτεραιότητα είναι η αναβάθμιση σε διορθωμένη έκδοση του LemonLDAP NG, ανάλογα με τον κλάδο που χρησιμοποιείται. Μετά την αλλαγή, οι ομάδες πρέπει να επανεξετάσουν τους κανόνες πρόσβασης και να επιβεβαιώσουν ότι οι ευαίσθητες διαδρομές δεν βασίζονται σε ένα υπερβολικά επιτρεπτικό προεπιλεγμένο αποτέλεσμα.
Ο έλεγχος καλό είναι να γίνει σε επίπεδο εικονικού υπολογιστή και όχι μόνο στην κεντρική διαμόρφωση. Χρειάζεται δοκιμή με URL που περιέχουν κωδικοποιημένους χαρακτήρες, τμήματα τελείας και διπλές καθέτους, ώστε να φανεί αν η πολιτική εφαρμόζεται στην τελική, κανονικοποιημένη διαδρομή. Οι δοκιμές πρέπει να γίνουν σε ελεγχόμενο περιβάλλον και με καταγραφή των αποτελεσμάτων.
Παράλληλα, αξίζει να εξεταστούν τα αρχεία καταγραφής για ασυνήθιστες παραλλαγές URL και επιτυχημένες προσβάσεις σε πόρους που κανονικά απαιτούν αυστηρότερο κανόνα. Η CVE-2026-95811 δεν τεκμηριώνει από μόνη της κλοπή δεδομένων ή απομακρυσμένη εκτέλεση κώδικα, όμως ένας λανθασμένος προεπιλεγμένος κανόνας μπορεί να διευρύνει την πρόσβαση περισσότερο από όσο είχε σχεδιαστεί.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Microsoft Entra ID: Ευπάθεια επηρεάζει την ασφάλεια των λογαριασμών
Οι έλεγχοι πρέπει να καλύψουν και τα ενδιάμεσα επίπεδα, όπως αντίστροφους διακομιστές μεσολάβησης, ισορροπητές φορτίου και κανόνες ανακατεύθυνσης. Μια πολιτική που φαίνεται σωστή στην κονσόλα του διαχειριστή μπορεί να αλλάζει στην πορεία, όταν διαφορετικά στοιχεία της υποδομής αποκωδικοποιούν ή συμπτύσσουν τη διεύθυνση. Η σύγκριση των καταγραφών σε κάθε επίπεδο βοηθά να εντοπιστεί το σημείο όπου χάνεται ο περιορισμός.
Η αναβάθμιση, η επαλήθευση των κανόνων και η αναζήτηση σχετικών αιτημάτων πρέπει να αντιμετωπιστούν ως ενιαία διαδικασία. Με αυτόν τον τρόπο, οι οργανισμοί περιορίζουν το παράθυρο έκθεσης και επιβεβαιώνουν ότι η πολιτική πρόσβασης του LemonLDAP NG αντιστοιχεί πράγματι στη διαδρομή που βλέπει ο προστατευμένος διακομιστής. Για το LemonLDAP NG, η σωστή κανονικοποίηση των URL είναι εξίσου σημαντική με την εγκατάσταση της διόρθωσης.
