CVE-2026-92821
Sssd: sssd: access control bypass via premature ldap access rule evaluation
Что произошло
A flaw was found in SSSD. When configured to evaluate password expiration warnings before restrictive access rules in LDAP (Lightweight Directory Access Protocol) environments, an expired-password warning terminates rule evaluation early and treats the access request as successful. A remote authenticated user with an expired password using an alternative authentication method, such as SSH public key authentication, can exploit this flaw to bypass access control restrictions and gain unauthorized access to protected systems.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
The exposure can be removed by reordering the SSSD LDAP access rules without waiting for a package update. In the affected domain section of /etc/sssd/sssd.conf, set ldap_access_order so that restrictive rules such as filter, host, and rhost are evaluated before pwd_expire_policy_warn (for example, change `ldap_access_order = pwd_expire_policy_warn, filter, host` to `ldap_access_order = filter, host, pwd_expire_policy_warn`). Alternatively, replace pwd_expire_policy_warn with pwd_expire_policy_reject where accounts with expired passwords should not continue through the access chain. Restart the SSSD service (systemctl restart sssd) to apply the change. Note that restarting SSSD briefly interrupts active authentication requests and identity lookups, and switching to pwd_expire_policy_reject changes behavior so that users with expired passwords are denied instead of warned.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Red Hat / Red Hat Enterprise Linux 10
cpe:/o:redhat:enterprise_linux:10
Red Hat / Red Hat Enterprise Linux 6
cpe:/o:redhat:enterprise_linux:6
Red Hat / Red Hat Enterprise Linux 7
cpe:/o:redhat:enterprise_linux:7
Red Hat / Red Hat Enterprise Linux 8
cpe:/o:redhat:enterprise_linux:8
Red Hat / Red Hat Enterprise Linux 9
cpe:/o:redhat:enterprise_linux:9
Red Hat / Red Hat OpenShift Container Platform 4
cpe:/a:redhat:openshift:4
CVSS: оценки и векторы
CVSS 3.1 · cve6.8
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:21:12.432337+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T17:34:29.018465+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T17:34:29.018465+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T17:34:29.018465+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:21:12.432337+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T17:34:29.018465+00:00"
},
"workarounds": [
"cve"
],
"configurations": []
}Хронология записи
- Данные обновлены05.11.2026, 00:21
- Данные обновлены04.11.2026, 00:15
- Данные обновлены03.11.2026, 00:15
- Данные обновлены02.11.2026, 00:13
- Данные обновлены31.10.2026, 12:00
- Данные обновлены29.10.2026, 12:46
- Опубликована28.10.2026, 20:34
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-89091 Ansible-core: ansible-core: ansible-galaxy collection install symlink path escape allows arbitrary file write / code execution Red Hat / Migration Toolkit for Applications 8 · Red Hat / Migration Toolkit for Virtualization | Высокий | 8.8 | 0,48 % | 09.10.2026 | ||
| CVE-2026-89059 Resteasy-core: resteasy: iioimageprovider unbounded image decode (decompression-bomb dos) Red Hat · Red Hat / Red Hat build of Quarkus 3.27.6.redhat | Критический | 7.5 | 0,89 % | PoC | 18.09.2026 | |
| CVE-2026-88924 Gvfs: gvfs-admin socket ownership race permits local root GNOME / gvfs · Red Hat / Red Hat Enterprise Linux 10 | Критический | 7.0 | 0,22 % | PoC | 10.09.2026 | |
| CVE-2026-86848 Dpdk: dpdk: time-of-check/time-of-use vulnerability allowing guest-triggered out-of-bounds write in vhost-crypto Red Hat / Red Hat Enterprise Linux 10 · Red Hat / Red Hat Enterprise Linux 9 | Высокий | 8.8 | 0,11 % | 14.10.2026 | ||
| CVE-2026-86567 Dpdk: dpdk: vduse handler fails to invalidate vring pointers when iotlb is invalidated, leading to use-after-unmap Red Hat / Red Hat Enterprise Linux 10 · Red Hat / Red Hat Enterprise Linux 9 | Высокий | 8.8 | 0,16 % | 14.10.2026 |