opsre go-ldap-admin: Verwendung eines fest codierten kryptografischen Schlüssels bei der Passwortentschlüsselung

Zusammenfassung

go-ldap-admin bis Version 0.6.2, ein Web-Administrationspanel für OpenLDAP, enthält einen RSA-Privatschlüssel im öffentlichen Quellcode. Dieser Schlüssel schützt verschlüsselte Login-Passwörter. Ein nicht authentifizierter Angreifer, der verschlüsselte Passwörter abfängt, kann diese offline oder über den Endpunkt /base/decryptpwd entschlüsseln und so LDAP-Zugangsdaten im Klartext erhalten.

Betroffen

• go-ldap-admin Versionen 0 bis 0.6.2
• Versionen nach 0.6.2: Unbekannt

Behoben in

Unbekannt. Zum Zeitpunkt dieses Eintrags wurde keine korrigierte Version oder Patch veröffentlicht.

Umgehung

• Öffentlichen Zugriff auf das Administrationspanel entfernen und den Zugriff auf VPN oder eine Allow-List beschränken.
• Den Endpunkt /base/decryptpwd deaktivieren oder einschränken, falls das Panel weiterhin genutzt werden muss (temporäre Massnahme, behebt die Ursache nicht).

Ausnutzung

• Öffentlich verfügbare Proof-of-Concept-Beschreibung vorhanden (Drittanbieter, HackMD); Ausnutzungsstatus als 'poc' eingestuft.
• Der Angriff erfordert keine Authentifizierung und ist von niedriger Komplexität.
• Aktive Ausnutzung in freier Wildbahn: Unbekannt. Kein Eintrag im CISA-KEV-Katalog bestätigt.

Unsere Empfehlung

• Alle go-ldap-admin-Instanzen inventarisieren, inklusive Versionen und Internetexposition.
• Öffentlichen Zugriff auf das Administrationspanel sofort entfernen.
• Den Endpunkt /base/decryptpwd bis zur Verfügbarkeit einer Korrektur sperren oder einschränken.
• Die vom Panel gespeicherten LDAP-Bind- und Dienstkonten-Zugangsdaten rotieren und Authentifizierungsprotokolle auf ungewöhnliche Aktivitäten prüfen.
• Das Upstream-Repository und NVD auf eine korrigierte Version überwachen und die Bewertung nach deren Veröffentlichung erneut vornehmen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-111347 on OSV osv.dev
• VulDB CVE-2026-111347 vuldb.com
• VulnCheck advisory www.vulncheck.com
• Proof-of-concept write-up (HackMD) hackmd.io
• go-ldap-admin config.go at v0.6.2 github.com
• go-ldap-admin base_routes.go at v0.6.2 github.com
• go-ldap-admin issue 447 github.com
• go-ldap-admin releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:55.