light-4j: Authentication Bypass über leeres LDAP-Passwort in Basic Auth

Zusammenfassung

Der Basic-Auth-Handler von networknt light-4j ab Version 2.1.5 bis vor 2.4.0 akzeptiert einen Basic-Authorization-Header mit einem bekannten Benutzernamen und einem leeren Passwort. Dadurch wird ein unauthentifizierter LDAP-Bind ausgelöst, der als erfolgreiche Authentifizierung akzeptiert wird, sodass ein nicht authentifizierter Angreifer sich als LDAP- oder Active-Directory-delegierte Benutzer anmelden kann. Betroffen sind nur eigene Java-Dienste, die light-4j-Basic-Auth mit LDAP/AD-Delegation nutzen und deren Verzeichnis unauthentifizierte Binds akzeptiert.

Betroffen

• networknt light-4j ab 2.1.5 bis vor 2.4.0
• Maven-Module wie com.networknt:basic-auth und die Komponente ldap-util (laut OSV-Feed)
• Standardkonfiguration: nicht betroffen, laut CVE-Eintrag

Behoben in

• light-4j 2.4.0 (Release 2.4.0, Behebung verfolgt in Issue #2804 und PR #2805)
• Patch für die 2.3.x-Linie: Unbekannt.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Für ungepatchte Versionen können LDAP-Administratoren unauthentifizierte Bind-Anfragen untersagen. Dies ist eine allgemeine LDAP-Massnahme aus dem Advisory eines anderen Projekts und wurde für light-4j nicht getestet.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
• In den durchgeführten Recherchen kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Java-Dienste mit light-4j inventarisieren, einschliesslich der Maven-Abhängigkeiten basic-auth und ldap-util sowie aller light-lambda-native-Deployments.
• Auf light-4j 2.4.0 aktualisieren, neu bauen und Forks oder kopierten Code prüfen.
• Sicherstellen, dass die LDAP/AD-Konfiguration keine unauthentifizierten Binds akzeptiert.
• Authentifizierungslogs auf erfolgreiche Anmeldungen LDAP-delegierter Konten ohne passende Passwort-Ereignisse prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• BasicAuthHandler.java (light-4j 2.3.7) github.com
• LdapUtil.java (light-4j 2.3.7) github.com
• light-4j release 2.4.0 github.com
• light-4j issue #2804 github.com
• light-4j pull request #2805 github.com
• light-4j issue #2807 (follow-up hardening) github.com
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-113682 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:16.