Los mantenedores del proyecto de servidor web NGINX han emitido mitigaciones para abordar las debilidades de seguridad en su Protocolo ligero de acceso a directorios (LDAP) Implementación de referencia.
“NGINX Open Source y NGINX Plus no se ven afectados en sí mismos, y no es necesaria ninguna acción correctiva si no usa la implementación de referencia”, Liam Crilly y Timo Stark de F5 Networks dicho en un aviso publicado el lunes.
NGINX dijo que el Implementación de referenciacual utiliza LDAP para autenticar a los usuariosse ve afectado solo bajo tres condiciones si los despliegues implican:
- Parámetros de línea de comandos para configurar el demonio de implementación de referencia basado en Python
- Parámetros de configuración opcionales no utilizados, y
- Pertenencia a un grupo específico para realizar la autenticación LDAP
Si se cumple alguna de las condiciones antes mencionadas, un atacante podría potencialmente anular los parámetros de configuración mediante el envío de encabezados de solicitud HTTP especialmente diseñados e incluso eludir los requisitos de membresía del grupo para obligar a la autenticación LDAP a tener éxito incluso cuando el usuario autenticado falsamente no pertenece al grupo.
Como contramedidas, los mantenedores del proyecto han recomendado a los usuarios que se aseguren de que los caracteres especiales se eliminen del campo de nombre de usuario en el formulario de inicio de sesión presentado durante la autenticación y actualicen los parámetros de configuración apropiados con un valor vacío (“”).
Los mantenedores también enfatizaron que la implementación de referencia de LDAP principalmente “describe la mecánica de cómo funciona la integración y todos los componentes necesarios para verificar la integración” y que “no es una solución LDAP de grado de producción”.
La revelación viene después detalles del problema salió a la luz pública durante el fin de semana cuando un grupo hacktivista llamado BlueHornet dicho había “tenido en nuestras manos un exploit experimental para NGINX 1.18”.