Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
PoCПатч
Опубликована

CVE-2026-34578

OPNsense has an LDAP Injection via Unsanitized Username in Authentication

Публикация: 09.04.2026·Обновлена: 27.10.2026, 01:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

OPNsense is a FreeBSD based firewall and routing platform. Prior to 26.1.6, OPNsense's LDAP authentication connector passes the login username directly into an LDAP search filter without calling ldap_escape(). An unauthenticated attacker can inject LDAP filter metacharacters into the username field of the WebGUI login page to enumerate valid LDAP usernames in the configured directory. When the LDAP server configuration includes an Extended Query to restrict login to members of a specific group, the same injection can be used to bypass that group membership restriction and authenticate as any LDAP user whose password is known, regardless of group membership. This vulnerability is fixed in 26.1.6.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

opnsense / core 

{
  "status": "affected",
  "version": "< 26.1.6"
}

opnsense / opnsense 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "26.1.6"
}
cpe:2.3:a:opnsense:opnsense:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve8.2
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнизкое
A · Доступностьнет
CVSS 3.1 · security-advisories@github.com8.2
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнизкое
A · Доступностьнет

Классы CWE

CWE-90 · Неправильная нейтрализация специальных элементов, используемых в запросе LDAP

Источники и ссылки

PoC / эксплойт · github.com · cveИсправление · github.com · nvdCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:14:05.295173+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:14:18.523416+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:14:18.523416+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:14:18.523416+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:14:05.295173+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:14:18.523416+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:14
  2. Данные обновлены05.11.2026, 00:16
  3. Данные обновлены04.11.2026, 00:13
  4. Данные обновлены03.11.2026, 00:12
  5. Данные обновлены02.11.2026, 00:10
  6. Данные обновлены31.10.2026, 11:58
  7. Данные обновлены29.10.2026, 00:14
  8. Данные обновлены28.10.2026, 18:06
  9. Появилась ссылка на PoC28.10.2026, 15:11

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-119424
OPNsense before 26.7.8 Wireless WPA Configuration Line Injection via Identity
opnsense / core
Высокий6.1
0,42 %
PoCПатч
30.10.2026
CVE-2026-116184
OpenRemote before 1.31.0 Cross-Realm Gateway Impersonation via Websocket
openremote / core
Низкий2.1
0,24 %
25.10.2026
CVE-2026-117538
REDAXO before 5.21.0 Reflected XSS via Packages API function Parameter
redaxo / core
Средний2.1
0,18 %
PoC
27.10.2026
CVE-2026-117534
REDAXO before 5.21.3 CSRF in Article History Plugin
redaxo / core
Средний5.1
0,1 %
27.10.2026
CVE-2026-116899
REDAXO before 5.21.4 Broken Access Control in Slice Operations
redaxo / core
Высокий7.1
0,18 %
27.10.2026