FreeIPA espone gli admin senza login, Windows Server 2025 manda in crash SQL Server

🛡️ Executive Summary

• FreeIPA combina due falle LDAP e 389 Directory Server consentendo a client anonimi di ottenere credenziali amministrative riutilizzabili.
• CVE-2026-76578 raggiunge CVSS 9.8: Red Hat conferma lo sfruttamento su installazioni FreeIPA predefinite senza credenziali o interazione.
• Windows Server 2025 può causare corruzione memoria e crash di SQL Server; Microsoft suggerisce temporaneamente di disabilitare LPIM.

Due problemi molto diversi colpiscono infrastrutture server e sistemi di identità enterprise. FreeIPA è interessato da una catena di vulnerabilità che permette a un client LDAP anonimo di creare una nuova identità Kerberos, ottenere l’appartenenza al gruppo amministratori e produrre credenziali riutilizzabili senza disporre di alcun account precedente. Red Hat assegna alla falla principale CVE-2026-76578 un CVSS preliminare di 9.8 e considera a rischio immediato i server IdM con LDAP raggiungibile da reti non fidate. Sul fronte Microsoft, invece, non emerge una vulnerabilità ma una regressione nella gestione della memoria di Windows Server 2025: alcune applicazioni che utilizzano Address Windowing Extensions possono subire access violation, corruzione della memoria e terminazioni improvvise, con SQL Server tra i prodotti già confermati come interessati.

FreeIPA permette a un client anonimo di costruirsi un’identità amministrativa

La criticità principale nasce da CVE-2026-76578, una vulnerabilità nell’Access Control Instruction utilizzata da FreeIPA per la gestione autonoma dei token OTP. Secondo l’analisi ufficiale di Red Hat, questa regola non impone correttamente l’autenticazione al client e non limita sufficientemente gli attributi che possono essere inseriti insieme all’oggetto token. Presa isolatamente, questa debolezza non sarebbe sufficiente per arrivare direttamente al controllo amministrativo; il problema diventa critico quando viene combinato con CVE-2026-76560, presente nel sottostante 389 Directory Server. Il motore che valuta le regole SELFDN confronta infatti il Distinguished Name del client con un attributo memorizzato, ma un client LDAP anonimo utilizza un bind DN vuoto: se anche il valore memorizzato è vuoto, il controllo può essere soddisfatto pur in assenza di un’identità autenticata. L’aggressore può quindi creare un token con ipaTokenOwner e managedBy vuoti e associare all’oggetto un principal Kerberos controllato direttamente. Red Hat afferma di aver riprodotto la catena due volte, compreso un test nel quale il client non disponeva di alcun accesso precedente, confermando operazioni normalmente riservate agli amministratori.

La conseguenza rende particolarmente delicata la falla perché FreeIPA non è semplicemente un’applicazione web: costituisce il livello di identity management di numerosi domini Linux e integra LDAP, Kerberos, gestione degli host, gruppi, policy e servizi di certificazione. Nei deployment con Security Identifier compatibili con il modello Windows, Red Hat indica inoltre che il principal creato dall’attaccante può ottenere un ticket Kerberos con dati di autorizzazione sufficienti per estendere l’accesso ai servizi HTTP e alla certificate authority Dogtag. Il percorso originariamente segnalato consentiva di impersonare direttamente l’account admin attraverso una collisione del nome canonico; la precedente CVE-2026-13097, corretta in FreeIPA 4.13.3, ha bloccato quella specifica collisione senza eliminare la scrittura anonima sottostante. La nuova tecnica utilizza quindi un principal scelto dall’attaccante che viene aggiunto al gruppo degli amministratori, raggiungendo secondo Red Hat lo stesso risultato pratico. Non risultano, al momento della disclosure, evidenze pubbliche di sfruttamento in attacchi reali.

Leggi anche: Keycloak 26.7.2 corregge una falla capace di portare al takeover degli account senza autenticazione

FreeIPA 4.13.4 rafforza gli access control e blocca le modifiche anonime

Il progetto ha corretto la propria componente con FreeIPA 4.13.4, release che interviene non soltanto sul singolo percorso OTP ma su una parte più ampia del modello autorizzativo. Le release note ufficiali di FreeIPA 4.13.4 mostrano l’introduzione di controlli aggiuntivi sulle operazioni API LDAP, l’hardening delle self-service ACI, il blocco delle modifiche anonime, limitazioni alla lettura anonima dei SID e controlli espliciti dei permessi per diverse operazioni privilegiate. Il fix restringe inoltre l’ADD dei token autogestiti alle sole object class OTP previste. Per CVE-2026-76560, tuttavia, deve essere aggiornata anche la componente 389 Directory Server nelle distribuzioni coinvolte. Red Hat sottolinea infatti che il difetto risiede nel motore di controllo accessi di 389-ds e può essere sfruttato anche al di fuori di FreeIPA quando una configurazione utilizza una regola userattr="attribute#SELFDN" o USERDN su un attributo che può contenere un valore vuoto. Red Hat Directory Server non distribuisce autonomamente una regola vulnerabile di questo tipo per impostazione predefinita, ma FreeIPA sì, ed è proprio questa combinazione a rendere vulnerabile un’installazione standard.

In attesa degli aggiornamenti completi dei pacchetti della distribuzione, Red Hat raccomanda di limitare LDAP alle sole reti fidate, normalmente sulle porte 389 e 636, attraverso firewall o segmentazione. Disabilitare gli anonymous bind elimina lo specifico percorso sfruttato dalla catena, ma l’intervento deve essere valutato rispetto alle funzioni che eventualmente dipendono dall’accesso anonimo. Il caso si inserisce in una fase particolarmente sensibile per i sistemi di autenticazione enterprise: la compromissione di un servizio centrale di identità può trasformare una singola vulnerabilità in un punto di accesso privilegiato verso host, applicazioni e infrastrutture collegate. La stessa centralità dei protocolli di autenticazione è emersa nelle recenti vulnerabilità e campagne che hanno coinvolto LDAP, Active Directory e Kerberos, dove il possesso di identità valide rappresenta spesso il passaggio decisivo verso il movimento laterale.

CVE-2026-79678 espone anche variabili d’ambiente e può provocare DoS

FreeIPA 4.13.4 corregge anche una seconda vulnerabilità indipendente, CVE-2026-79678, classificata da Red Hat con CVSS 8.1. Il problema interessa il comando idp-add: due valori controllati dall’utente, relativi a organizzazione e base URL, raggiungono una chiamata Python eval() prima che venga eseguito il controllo LDAP che dovrebbe limitare l’operazione agli amministratori dell’Identity Provider. Qualunque principal FreeIPA autenticato, anche privo di privilegi elevati, può quindi raggiungere il codice vulnerabile. Red Hat precisa che non è possibile ottenere esecuzione arbitraria di codice perché una regular expression impedisce l’utilizzo delle parentesi e quindi le normali chiamate di funzione; l’attaccante può però enumerare le variabili d’ambiente del processo e provocare un denial of service per esaurimento della memoria.

L’impatto sulla confidenzialità dipende fortemente dal deployment. Nelle installazioni RPM tradizionali di Red Hat Identity Management l’ambiente del processo contiene principalmente percorsi e configurazioni documentate, mentre nei container ufficiali FreeIPA le password di Directory Manager e dell’amministratore possono essere fornite attraverso variabili d’ambiente durante il primo avvio. Se tali segreti restano presenti nel processo dopo l’installazione, la vulnerabilità può quindi trasformarsi in un canale per la loro esposizione. Non esiste una mitigazione configurativa equivalente alla disabilitazione dei bind anonimi utilizzabile contro questo problema: Red Hat indica che è necessario installare un pacchetto corretto e raccomanda agli amministratori dei container di controllare che le password iniziali non persistano nell’ambiente runtime.

Windows Server 2025 cambia la gestione della memoria e può far cadere SQL Server

Il secondo problema riguarda Windows Server 2025 e non viene classificato da Microsoft come vulnerabilità di sicurezza. La documentazione ufficiale sugli aggiornamenti di Windows Server 2025 segnala una modifica nella gestione della memoria capace di interferire con applicazioni che utilizzano Address Windowing Extensions, tecnologia storicamente impiegata per gestire grandi quantità di memoria fisica. Le applicazioni che dipendono da comportamenti presenti nelle precedenti release di Windows Server possono manifestare 0xC0000005 EXCEPTION_ACCESS_VIOLATION, errori di memory corruption, crash dump e terminazioni improvvise. Microsoft indica esplicitamente SQL Server configurato con Lock Pages in Memory tra i software conosciuti come interessati. Nei database possono inoltre fallire operazioni di manutenzione come DBCC CHECKDB, mentre i servizi SQL Server possono arrestarsi o riavviarsi senza preavviso.

LPIM permette al motore SQL Server di mantenere determinate pagine di memoria fisica impedendo al sistema operativo di trasferirle nel page file, comportamento utile soprattutto sui database ad alto carico e nei server con grandi quantitàativi di RAM. La mitigazione temporanea indicata da Microsoft consiste nel disabilitare Lock Pages in Memory per gli account dei servizi SQL Server interessati, impedendo così l’utilizzo del percorso AWE coinvolto nella regressione. La soluzione ha però un costo potenziale: Microsoft avverte che la rimozione di LPIM può modificare il comportamento della memoria e peggiorare le prestazioni del database. Per altre applicazioni viene consigliato di verificare se sia possibile disattivare AWE. Una correzione definitiva è ancora in preparazione per un futuro aggiornamento Windows.

Il problema arriva dopo altri incidenti di stabilità che nel 2026 hanno interessato la piattaforma server di Microsoft. Ad aprile, un aggiornamento cumulativo di Windows Server 2025 aveva già provocato errori di installazione e problemi BitLocker, mentre a luglio Microsoft ha dovuto mitigare rallentamenti e timeout nelle sincronizzazioni WSUS. La nuova regressione è particolarmente delicata perché coinvolge direttamente SQL Server, componente centrale in numerosi ambienti enterprise, e obbliga gli amministratori a scegliere temporaneamente tra stabilità applicativa e una configurazione della memoria progettata proprio per ottimizzare le prestazioni dei database.

Continua con:

• CISA, Linux e JFrog: nuove falle critiche colpiscono kernel e infrastrutture enterprise
• FalconFlank sfrutta CrowdStrike Falcon e coinvolge anche Windows Server 2025

Identità e continuità operativa diventano due punti critici dell’infrastruttura

I due casi richiedono priorità differenti. Per FreeIPA, la catena CVE-2026-76578 + CVE-2026-76560 costituisce un problema di sicurezza immediato: Red Hat considera possibile una compromissione amministrativa remota senza autenticazione e raccomanda di ridurre subito l’esposizione LDAP quando non è possibile aggiornare. La priorità deve essere ancora maggiore nei deployment nei quali il servizio è raggiungibile da segmenti non fidati o direttamente da Internet. Per Windows Server 2025, invece, il rischio è principalmente operativo: crash, corruzione della memoria e arresto di SQL Server possono compromettere disponibilità e consistenza dei workload pur senza rappresentare un vettore di attacco documentato.

La differenza non riduce però la necessità di intervento. Nei sistemi enterprise, identità e database costituiscono due elementi ad altissima concentrazione di rischio: FreeIPA controlla chi può autenticarsi e con quali privilegi, mentre SQL Server conserva dati e sostiene applicazioni che spesso rappresentano direttamente il processo produttivo dell’organizzazione. La prima emergenza richiede patch e segmentazione; la seconda impone testing delle configurazioni LPIM, monitoraggio dei crash e valutazione dell’impatto prestazionale del workaround. In entrambi i casi, applicare modifiche direttamente in produzione senza verificare dipendenze e comportamento dei sistemi può trasformare una correzione necessaria in una nuova interruzione del servizio.