Code injection in FreeIPA
A flaw was found in IPA, all 4.6.x versions before 4.6.7, all 4.7.x versions before 4.7.4 and all 4.8.x versions before 4.8.3, in the way the internal function ber_scanf() was used in some components of the IPA server, which parsed kerberos key data. An unauthenticated attacker who could trigger parsing of the krb principal key could cause the IPA server to crash or in some conditions, cause arbitrary code to be executed on the server hosting the IPA server.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | freeipa | >= 4.6.2, < 4.6.7, >= 4.7.0, < 4.7.4, >= 4.8.0, < 4.8.3 | 4.6.7, 4.7.4, 4.8.3 |
| Python (PyPI) | ipa | >= 4.6.2, < 4.6.7, >= 4.7.0, < 4.7.4, >= 4.8.0, < 4.8.3 | 4.6.7, 4.7.4, 4.8.3 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2019-14867
- https://access.redhat.com/errata/RHBA-2019:4268
- https://access.redhat.com/errata/RHSA-2020:0378
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-14867
- https://github.com/advisories/GHSA-7hpj-hfcr-5qwm
- https://github.com/pypa/advisory-database/tree/main/vulns/ipa/PYSEC-2019-28.yaml
- https://github.com/pypa/advisory-db/tree/main/vulns/ipa/PYSEC-2019-28.yaml
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/67SEUWJAJ5RMH5K4Q6TS2I7HIMXUGNKF
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WLFL5XDCJ3WT6JCLCQVKHZBLHGW7PW4T
- https://www.freeipa.org/page/Releases/4.6.7
- https://www.freeipa.org/page/Releases/4.7.4
- https://www.freeipa.org/page/Releases/4.8.3
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WLFL5XDCJ3WT6JCLCQVKHZBLHGW7PW4T/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/67SEUWJAJ5RMH5K4Q6TS2I7HIMXUGNKF/
- https://pypi.org/project/freeipa
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-400, CWE-94- Platforma
- Python (PyPI)
- Paczka
freeipa, ipa- Ujawniono
- 27.11.2019
- Aktualizacja
- 11.10.2026 13:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2019-28 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-7hpj-hfcr-5qwm - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-636 - PyPA Advisory Database; CC BY 4.0
Historia podatności: freeipa
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 11.2019 11.2019
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2019: 2
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.