脆弱性 / VULNERABILITY / FREEIPA & RED HAT IDM
FreeIPAに未認証で管理者権限を奪取される脆弱性CVE-2026-76578 — Red Hatが緊急警告、匿名LDAPで“管理者グループ”に侵入可能
Red Hatは2026年9月7日、FreeIPA/IdMの重大な脆弱性CVE-2026-76578（CVSS 9.8）を公開した。自己管理型OTPトークン用のアクセス制御が認証を要求せず、攻撃者が任意のKerberosプリンシパルを作成して管理者グループへ追加できる。ネットワーク経由で認証なしに管理者権限の奪取が可能で、同社はLDAPを信頼できないネットワークに公開している全てのFreeIPA環境を「即時リスク」と位置づけている。
要点
- Red Hatは2026年9月7日、FreeIPAの重大な脆弱性CVE-2026-76578を公開した。 自己管理型のOTPトークン用アクセス制御（ACI）が認証を要求せず、匿名のLDAPクライアントが任意の属性を付与したエントリを作成できる不備が原因だ。
- 攻撃者はネットワーク経由で認証なしに任意のKerberosプリンシパルを作成し、FreeIPAの「administrators」グループへ自ら追加できる。 結果として、正規の管理者グループに属する認証情報を取得し、ディレクトリやIdM連携サービスに対して管理操作が可能になる。
- 共通脆弱性評価システム（CVSS）v3.1の基本値は9.8（Critical）、評価ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、CWEはCWE-306（重要機能の認証欠如）に分類されている。
- Red Hatはデフォルト状態のFreeIPAで再現を確認済みと説明し、LDAPを信頼できないネットワークに公開している環境は修正パッケージ適用まで「即時リスク」にあると警告している。
CVE-2026-76578とは — 匿名LDAPから“管理者”を作れる
FreeIPA（Red Hat IdMの中核）は、LDAPディレクトリとKerberos認証を統合して利用者やホスト、サービスを集中管理する基盤だ。日本企業でもLinuxサーバー群の統合認証やSSOの基盤として採用されることがある。
今回の脆弱性は、利用者が自身のOTPトークンを自己管理するためのACI（アクセス制御命令）に起因する。Red Hatによると、このACIは次の2点で不備を抱えていた。
- 認証を要求しない — 匿名のLDAPクライアントでもトークンエントリの作成が可能だった
- 属性の制限がない — トークンと同時に任意の属性を付与でき、Kerberosプリンシパルなどの管理情報を混入できた
攻撃者はこれに加え、基盤となる389 Directory Server側のACI評価の不備を連鎖させることで、攻撃者が完全に制御するKerberosプリンシパルを作成し、同時に「administrators」グループへメンバーとして追加することに成功する。作成されるアカウントは攻撃者が任意に名付けたもので、正規の管理者アカウントを直接乗っ取る手法ではないが、結果として正規の管理者グループに属する新たな管理者が誕生する点で実害は同等だ。
Red Hatは、以前に報告された管理者アカウント名の衝突を悪用する手法（CVE-2026-13097）の修正ではこの根本的な無認証書き込みは解消していないと明記している。CVE-2026-13097は衝突自体を塞いだが、任意名でのグループ追加という今回の経路は残存していた。
影響範囲と深刻度
Red HatのCVEデータベースが示す影響範囲と評価は次の通りだ。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-76578 |
| 公開日 | 2026年9月7日（UTC） |
| 脆弱性区分 | CWE-306（重要機能の認証欠如） |
| CVSS v3.1 | 9.8（Critical） — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 攻撃条件 | ネットワーク経由、低い攻撃難易度、特権不要、利用者操作不要 |
| 報告者 | Gia Bui（yabeow）氏（Calif.io） |
| 製品 | 状態 |
|---|---|
| Red Hat Enterprise Linux 10（ipa） | 影響を受ける（Affected） |
| Red Hat Enterprise Linux 9（ipa） | 影響を受ける |
| Red Hat Enterprise Linux 8（ipa / idm:client/ipa） | 影響を受ける |
| Red Hat Enterprise Linux 7（ipa） | 影響を受ける |
| Red Hat Enterprise Linux 6 | サポート対象外（Out of support scope） |
Red Hatは、SID（Security Identifier）連携を有効にしたIdM環境では、ディレクトリ以外のIdMサービスにも管理操作が波及するおそれがあると補足している。IdMがActive Directoryとの信頼関係や証明書管理を担う環境では、影響が認証基盤全体に広がる可能性がある。
再現性と攻撃の前提条件
Red Hatは、デフォルトの未改変FreeIPA環境に対して、認証情報や事前アクセス、利用者操作なしに再現を確認したと説明している。攻撃に必要なのは、LDAPサービス（通常はTCP 389番または636番）へのネットワーク到達性のみだ。
同社はまた、今回の手口が匿名LDAPバインドを起点とする点を強調している。匿名バインドを許可しているFreeIPA環境では、外部からLDAPに到達できるだけで、攻撃者が管理者グループへの参加を試みられることになる。既存の修正CVE-2026-13097が塞いだ「adminアカウントのなりすまし」とは異なり、今回は攻撃者が選んだ任意の名前で管理者を作成できるため、検知がより困難になるおそれがある。
対策と緩和策 — Red Hatが示した内容に限定
Red HatがCVE-2026-76578のページで実際に示している対策と緩和策は次の2点に限定されている。メディア側の独自解釈による対策の創作は行わず、同社の公表内容を正確に伝える。
1. 修正パッケージの適用（提供され次第） Red Hatは影響を受けるRHEL各バージョン向けに修正パッケージの提供を準備している。提供され次第、速やかに適用する必要がある。現時点（2026年9月8日）で同社のCVEページは「Affected」としており、具体的な修正バージョン番号は今後の更新で案内される。
2. それまでの緩和策 Red Hatは修正パッケージが利用可能になるまでの間、次の緩和策を提示している。
- LDAPサービス（389/636）へのネットワークアクセスを、信頼できるホストのみに制限する。 ファイアウォールやネットワークセグメンテーションで外部からの到達性を遮断する。
- 匿名LDAPバインドの無効化を検討する。 この攻撃経路は匿名バインドを前提とするため、無効化は有効な遮断策になる。ただし、環境によっては匿名バインドを必要とする正当な機能が存在する可能性があるため、適用前に影響を十分に確認するよう同社は注意を促している。
Red Hatは「匿名バインドの無効化が他の匿名バインド依存機能を壊さないか確認してから適用してほしい」と明記しており、一律の無効化を推奨しているわけではない。
日本企業への示唆
FreeIPA/IdMは、Linuxサーバーを多数運用する組織や、Active Directoryと連携したハイブリッド認証基盤で採用されることがある。LDAPを社内外から到達可能にしている場合、今回の脆弱性は認証なしで管理者を作成されるという最も深刻な部類に属する。
Red Hatが「LDAPを信頼できないネットワークに公開している全てのFreeIPA/IdM環境は即時リスク」と明記している点を重く見る必要がある。まずは自組織でFreeIPA/IdMを運用しているか、LDAPポートがインターネットや広い社内ネットワークに公開されていないかを棚卸しし、修正パッケージの公開を注視しつつ、上記のネットワーク制限を暫定措置として検討することが求められる。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。