CVE-2023-5455
CVE-2023-5455 · Ipa: invalid csrf protection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.
A Cross-site request forgery vulnerability exists in ipa/session/login_password in all supported versions of IPA. This flaw allows an attacker to trick the user into submitting a request that could perform actions as the user, resulting in a loss of confidentiality and system integrity. During community penetration testing it was found that for certain HTTP end-points FreeIPA does not ensure CSRF protection. Due to implementation details one cannot use this flaw for reflection of a cookie representing already logged-in user. An attacker would always have to go through a new authentication attempt.
CVSS 6.5 · Moyenne · EPSS 0,6% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
red hat enterprise linux 7
- Versions du logiciel
- ≥ 0:4.6.8-5.el7_9.16: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8
- Versions du logiciel
- ≥ 8090020231201152514.3387e3d0: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.2 advanced update support
- Versions du logiciel
- ≥ 8020020231123154806.792f4060: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.2 telecommunications update service
- Versions du logiciel
- ≥ 8020020231123154806.792f4060: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.2 update services for sap solutions
- Versions du logiciel
- ≥ 8020020231123154806.792f4060: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.4 advanced mission critical update support
- Versions du logiciel
- ≥ 8040020231123154610.5b01ab7e: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.4 telecommunications update service
- Versions du logiciel
- ≥ 8040020231123154610.5b01ab7e: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.4 update services for sap solutions
- Versions du logiciel
- ≥ 8040020231123154610.5b01ab7e: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.6 extended update support
- Versions du logiciel
- ≥ 8060020231208020207.ada582f1: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 8.8 extended update support
- Versions du logiciel
- ≥ 8080020231201153604.b0a6ceea: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 9
- Versions du logiciel
- ≥ 0:4.10.2-5.el9_3: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 9.0 extended update support
- Versions du logiciel
- ≥ 0:4.9.8-9.el9_0: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 9.2 extended update support
- Versions du logiciel
- ≥ 0:4.10.1-10.el9_2: Non concernée (rpm)
Aucun correctif publié
red hat enterprise linux 6
Aucun correctif publié
red hat enterprise linux 8
Aucun correctif publié
freeipa Debian:12
- Versions du logiciel
- 4.10.1+dfsg1-1+exp1
- 4.10.1-1+exp1
- 4.10.2-1
- 4.10.2-2
- 4.10.2-2+exp1
- 4.11.1-1
- 4.11.1-1+exp1
- 4.11.1-2
- 4.11.1-2+exp1
- 4.11.1-2.1
- 4.12.2-1
- 4.12.2-2
- 4.12.2-3
- 4.12.4-1
- 4.12.4-2
- 4.13.1-1
- 4.9.11-1
- 4.9.11-1+exp1
- 4.9.11-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 4.11.1-1
Mettez à jour vers 4.11.1-1
freeipa Ubuntu:Pro:14.04:LTS
- Versions du logiciel
- 3.2.1-0ubuntu1
- 3.3.4-0ubuntu1
- 3.3.4-0ubuntu2
- 3.3.4-0ubuntu3
- 3.3.4-0ubuntu3.1
- 3.3.4-0ubuntu3.1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 4.1.4-1
- 4.3.1-0ubuntu1
- 4.3.1-0ubuntu1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:18.04:LTS
- Versions du logiciel
- 4.4.4-3ubuntu1
- 4.4.4-4
- 4.7.0~pre1+git20180411-2ubuntu1
- 4.7.0~pre1+git20180411-2ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:20.04:LTS
- Versions du logiciel
- 4.8.1-2ubuntu1
- 4.8.3-1
- 4.8.6-1ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:22.04:LTS
- Versions du logiciel
- 4.8.6-1ubuntu6
- 4.8.6-1ubuntu8
- 4.8.6-1ubuntu9
- 4.9.8-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:24.04:LTS
- Versions du logiciel
- 4.10.2-1
- 4.10.2-2
- 4.10.2-2ubuntu3
- 4.11.1-1
- 4.11.1-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
freeipa Ubuntu:25.10
- Versions du logiciel
- 4.12.2-3
- 4.12.4-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://access.redhat.com/errata/RHSA-2024:0137
- https://access.redhat.com/errata/RHSA-2024:0138
- https://access.redhat.com/errata/RHSA-2024:0139
- https://access.redhat.com/errata/RHSA-2024:0140
- https://access.redhat.com/errata/RHSA-2024:0141
- https://access.redhat.com/errata/RHSA-2024:0142
- https://access.redhat.com/errata/RHSA-2024:0143
- https://access.redhat.com/errata/RHSA-2024:0144
- https://access.redhat.com/errata/RHSA-2024:0145
- https://access.redhat.com/security/cve/CVE-2023-5455
- https://bugzilla.redhat.com/show_bug.cgi?id=2242828
- https://www.freeipa.org/release-notes/4-10-3.html
- https://www.freeipa.org/release-notes/4-11-1.html
- https://www.freeipa.org/release-notes/4-6-10.html
- https://www.freeipa.org/release-notes/4-9-14.html
- https://access.redhat.com/errata/RHSA-2024:0252
- https://lists.fedoraproject.org/archives/list/[email protected]/message/U76DAZZVY7V4XQBOOV5ETPTHW3A6MW5O/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/UFNUQH7IOHTKCTKQWFHONWGUBOUANL6I/
- https://nvd.nist.gov/vuln/detail/CVE-2023-5455