O que diabos está realmente acontecendo nesses relatórios de vulnerabilidades LDAP do Lion?

Question

Basta ler um tópico do Slashdot na quebra do LDAP no OSX. Alguém pode explicar exatamente o que está sendo protegido pelo OpenLDAP e por que algo diferente de dados armazenados em uma máquina da Lion pode estar em risco?

Uma citação do artigo:

“As pen testers, one of the first things we do is attack the LDAP server,” Rob Graham, CEO of auditing firm Errata Security, said. “Once we own an LDAP server we own everything. I can walk up to any laptop (in an organization) and log into it.”

Como se passa de invadir um servidor LDAP mac aleatório para ser proprietário de toda a empresa?

    

Answer 1

Não se assuste. Esta não é uma grande ameaça às redes corporativas sugerida por este artigo no The Register .

O Apple Lion é novo e, portanto, esse bug está recebendo uma quantidade desproporcional de atenção quando comparado a falhas semelhantes em outros sistemas operacionais. Aqui estão algumas descrições mais tranqüilas desse mesmo problema:

• " O Mac OS X Lion não verifica as senhas ao autenticar via LDAP ".
• Paul Ducklin de nakedsecurity.sophos.com escreveu uma peça mais fundamentada sobre este problema, e o hype por trás disso.

Esta é uma exploração local em um sistema Apple Lion que afeta apenas esse sistema. A Apple ainda precisa fornecer detalhes. Aqui está como eu entendi o problema: se alguém entrar em um sistema Apple Lion uma vez com sucesso, qualquer outra pessoa pode entrar no mesmo sistema com qualquer senha. Este é um problema sério para esse sistema, mas o dano é principalmente limitado a esse sistema em particular. Infelizmente, esse sistema agora é menos confiável e pode estar na sua rede.

Este problema NÃO permite que um hacker possua seus servidores AD / LDAP, por si só. Seus servidores AD / LDAP ainda rejeitarão qualquer solicitação de autorização LDAP incorreta de qualquer cliente LDAP. Para contornar isso, seria necessária uma grande falha no servidor LDAP ou no protocolo LDAP ou em um servidor mal configurado, o que é um problema completamente diferente do problema descrito acima.

Lembre-se de que esse problema afeta apenas os sistemas Apple Lion, que usam LDAP para autenticação. Na maioria das organizações, esse será um número muito pequeno de clientes. Um servidor da Apple Lion pode ser mais vulnerável, mas a Apple precisa elaborar o problema e eles ainda não foram bem informados sobre esse problema. Você pode imaginar o RedHat retendo informações sobre uma vulnerabilidade publicamente conhecida por tanto tempo?

    

Answer 2

O problema com a vulnerabilidade está bem explicado no artigo linkado pelo slashdot.

O verdadeiro problema é que, quando alguém entra em qualquer máquina da Lion na rede que está usando o LDAP como método de autorização, você pode ler o conteúdo do diretório LDAP. Que lhe daria acesso a todas as contas na rede que usam autenticação central. Além disso, dá acesso a qualquer coisa garantida pelo sistema de Autorização LDAP. Basicamente, você agora possui tudo nessa rede.

Como uma nota lateral, estou curioso para saber se é um bug na autorização LDAP ou no sistema de autenticação subjacente (provavelmente kerboros).

Além disso, se você não estiver usando o LDAP como sua fonte de autorização (OpenLDAP, Active Directory, NDS, etc), você não será afetado por isso.

Para responder a uma pergunta específica:

Can anyone explain exactaly what is being secured by OpenLDAP

A resposta é "Depende ..." do que sua infraestrutura de TI configurou para usar o LDAP para autorização.