🇰🇷 한글 설명
SSSD의 LDAP sudo 프로바이더에서 ldap_sudo_search_base 옵션이 명시적으로 설정되지 않을 경우 발생하는 취약점입니다. 이로 인해 SSSD가 LDAP 디렉토리 전체를 검색하게 되며, 특정 서브트리에 쓰기 권한이 있는 인증된 공격자가 sudoRole 객체를 주입하여 모든 SSSD 등록 호스트에 루트 권한을 획득할 수 있습니다.
💡 쉬운 설명
회사 네트워크의 권한 관리 시스템 설정 오류로 인해, 권한이 낮은 사용자가 가짜 관리자 규칙을 만들어 모든 컴퓨터의 주인(root)이 될 수 있는 문제입니다. 특정 설정이 빠져 있어 시스템이 엉뚱한 곳까지 뒤져서 권한을 확인하기 때문에 발생합니다.
🇺🇸 원문 (English)
A flaw was found in SSSD's LDAP sudo provider. When the ldap_sudo_search_base option is not explicitly configured, SSSD searches the entire LDAP directory tree for sudoRole objects. An authenticated attacker with write access to any subtree can inject a sudoRole object granting root-level sudo privileges on all SSSD-enrolled hosts.
📍 영향받는 시스템
SSSD (System Security Services Daemon) - ldap_sudo_search_base 미설정 환경
⚔️ 공격 벡터
LDAP 디렉토리 내 특정 서브트리에 쓰기 권한을 가진 공격자가 악의적인 sudoRole 객체를 삽입
🛡️ 대응 방법
SSSD 설정 파일에서 ldap_sudo_search_base 옵션을 명시적으로 지정하여 검색 범위를 제한하거나 최신 보안 패치 적용
🔧 검증 코드
명령어 결과에 ldap_sudo_search_base 설정이 나타나지 않으면 취약할 가능성이 높습니다.
sssd -i 2>&1 | grep -i 'ldap_sudo_search_base' || echo 'Option not explicitly configured'