FreeIPA(리눅스 도메인 전체의 로그인 권한과 사용자 정보를 관리하는 시스템)에서 로그인한 적도 없는 익명 사용자가 관리자 권한을 스스로 만들어낼 수 있는 취약점 체인이 발견됐습니다. CVE-2026-76578(CVSS 9.8, 위험도 최상)과 389 Directory Server의 CVE-2026-76560이 결합되면, 아무 계정도 없는 외부인이 Kerberos(네트워크 인증 프로토콜) 관리자 자격증명을 직접 생성해 관리자 그룹에 진입할 수 있습니다. Red Hat은 기본 설치 상태에서 이 공격을 직접 재현했습니다. FreeIPA 4.13.4에서 수정됐으나 Red Hat Enterprise Linux용 ipa 패키지는 확인 시점 기준 아직 패치가 없어, 즉시 LDAP 포트(389, 636)를 방화벽으로 제한하거나 익명 LDAP 바인드를 비활성화하는 임시 조치가 필요합니다.
FreeIPA의 OTP(일회용 비밀번호) 토큰 관리 접근 제어 규칙(ACI)이 로그인 여부를 확인하지 않고, 389 Directory Server가 빈 인증 이름과 빈 저장값을 동일하게 처리하는 결함이 결합되어, 인증되지 않은 익명 클라이언트가 관리자 그룹에 Kerberos 자격증명을 생성할 수 있는 공격 체인이 발견됐다. Red Hat은 기본 설치 환경에서 두 차례 재현에 성공했다.
공격자가 인증 없이 관리자 권한을 획득할 수 있으며, Windows 방식 SID(보안 식별자) 환경에서는 HTTP 및 Dogtag(FreeIPA 내장 인증서 발급 기관) 서비스까지 접근 가능하다. 별도의 CVE-2026-79678 결함으로는 서버 환경변수(초기 관리자 비밀번호 포함 가능) 노출 및 메모리 고갈도 가능하다.
FreeIPA의 ACI가 토큰 항목 생성 시 인증 상태와 쓰기 범위를 제한하지 않고, 389 Directory Server의 접근 제어 엔진이 빈 클라이언트 이름을 빈 소유자 값과 일치하는 것으로 처리한다. idp-add 결함은 권한 확인 전에 사용자 입력값이 Python eval()로 전달되기 때문이다.
FreeIPA를 4.13.4로 업그레이드하고, 389-ds-base 패키지를 각 배포판 권고(Red Hat Enterprise Linux 10은 RHSA-2026:64785)에 따라 업데이트한다. 패치 전 임시 조치로 LDAP 포트(389, 636)를 신뢰 호스트로만 제한하거나 익명 LDAP 바인드를 비활성화한다. idp-add 결함은 패키지 업데이트 외 설정으로 막을 방법이 없다.
패치를 적용해도 공격자가 미리 생성해둔 계정이 자동 삭제되지 않을 수 있으므로, 관리자는 디렉터리에서 비정상적인 Kerberos 자격증명을 직접 확인해야 한다. 컨테이너 환경에서는 초기 부팅 시 환경변수로 전달된 Directory Manager·관리자 비밀번호가 프로세스에 남아있는지 반드시 점검해야 한다. 현재 탐지 규칙이나 침해지표(IoC)는 공개되지 않았다.
본문
FreeIPA의 결함으로 인해 한 번도 로그인한 적 없는 클라이언트가 디렉터리 내에 원하는 Kerberos 자격증명을 만들고 관리자 그룹에 진입할 수 있다고 Red Hat이 밝혔다.
FreeIPA는 Linux 도메인 전반의 로그인 권한을 결정하고, LDAP을 통해 접근하는 389 Directory Server 데이터베이스에서 모든 자격증명을 관리하는 시스템이다. 이 공격에는 해당 데이터베이스 소프트웨어의 두 번째 결함도 함께 필요하다.
FreeIPA 프로젝트는 이미 버전 4.13.4에서 자체 결함을 수정했다. Red Hat은 기본 설치 상태에서 이 공격 체인을 두 차례 재현했으며, 가장 최근에는 외부 접근이 전혀 없는 머신에서도 재현에 성공했다.
Red Hat은 FreeIPA 결함을 CVE-2026-76578로 추적하며 CVSS 점수 9.8의 위험(critical) 등급으로 평가한다. 해당 페이지에는 이 점수가 잠정적이며 검토 중임을 명시하고 있다.
Red Hat은 FreeIPA를 Identity Management 제품으로 제공하며, 패키지명은 ipa다.
FreeIPA는 사용자가 자신의 OTP(일회용 비밀번호) 토큰을 관리할 수 있도록 ACI(접근 제어 규칙)를 제공한다. 이 규칙은 클라이언트가 로그인했는지 확인하지 않으며, 토큰과 함께 쓸 수 있는 다른 항목도 제한하지 않는다.
이것이 위험해지는 이유는 두 번째 결함 때문이다. 389 Directory Server에는 "인증된 항목 소유자만 허용"을 의미하도록 설계된 규칙 유형이 있다. 이 규칙은 클라이언트의 이름을 저장된 값과 일반 텍스트로 비교하는데, 로그인하지 않은 클라이언트의 이름은 비어 있고 이는 비어 있는 저장 값과 일치하게 된다.
따라서 익명 클라이언트는 소유자 필드를 빈 채로 토큰 항목을 만들고, 아무것도 아닌 상태로 소유자 확인을 통과한 뒤, 그 옆에 Kerberos 자격증명과 비밀번호를 함께 기록할 수 있다.
Red Hat은 디렉터리 서버 결함 CVE-2026-76560을 CVSS 7.5로 평가하며, Red Hat Directory Server는 기본적으로 이러한 형태의 규칙을 탑재하지 않는다고 밝혔다. 단독으로는 그러한 규칙을 직접 작성한 배포 환경에서만 의미가 있다.
FreeIPA가 바로 그러한 배포 환경에 해당한다. FreeIPA가 기본으로 탑재하는 규칙이 정확히 그 형태여서 초기 설치 상태에서도 체인이 작동한다. 이 연결 관계는 각각의 절반을 따로 설명하는 두 권고문을 분석한 결과다.
Red Hat은 FreeIPA 구성 요소 없이 순수 389-ds 빌드에서도 디렉터리 서버 결함을 단독으로 재현했으며, 비어 있지 않은 값으로 제어 테스트를 실행하면 올바르게 거부되는 것을 확인했다. 이는 결함이 FreeIPA가 하는 어떤 동작이 아닌, 접근 제어 엔진 자체에 있음을 보여준다.
처음 Red Hat에 보고된 기법은 실제 admin 계정과 일치하는 Kerberos 이름을 만들어 이를 사칭하는 방식이었다. CVE-2026-13097에 대한 이전 수정이 해당 충돌을 차단했으나, 인증되지 않은 쓰기의 근본 원인은 그대로 남아 있었다. Red Hat에 따르면 이제 공격자가 직접 선택한 이름으로 공격이 작동하며 "동일한 실질적 결과에 도달"한다.
FreeIPA 4.13.3에서 수정된 이전 결함 CVE-2026-13097은 별개의 문제였다. Kerberos 이름의 고유성 확인이 동일한 이름을 다르게 표기하는 방식을 허용하지 않아, 쓰기 권한이 있는 사용자가 기존 권한 있는 자격증명을 사칭하는 서비스 자격증명을 만들 수 있었다.
두 프로젝트는 결과를 다르게 설명한다. Red Hat은 실제 관리자 그룹 멤버십과 재사용 가능한 관리자 자격증명을 획득한다고 표현한다.
FreeIPA 프로젝트는 더 좁게 보아, 주입되는 자격증명은 이미 존재하지 않아야 하며 CVE-2026-13097 수정으로 기존 계정 탈취가 방지되고, 이 공격이 관리자 권한으로 가는 "발판으로 사용될 수 있다"고 서술한다.
Red Hat은 FreeIPA 버전 4.13.1을 실행하는 기본 컨테이너 이미지에서 체인을 실행했으며, 익스플로잇 출력을 신뢰하는 대신 관리자 전용 표준 명령어로 결과를 확인했다. 권고문이나 버그 보고서 어디에도 이 결함이 실제 공격에 사용됐다는 내용은 없다.
Windows 방식 보안 식별자를 사용하는 배포 환경에서는, Red Hat에 따르면 공격자가 인가 데이터가 포함된 Kerberos 티켓도 획득할 수 있어 서버의 HTTP 및 Dogtag 서비스로의 접근이 확장된다. Dogtag는 FreeIPA의 내장 인증서 발급 기관이다.
두 번째, 별개의 결함
Red Hat은 이번에 이와는 무관한 두 번째 FreeIPA 결함 CVE-2026-79678도 함께 공개했다. 이 결함은 위의 체인과 전혀 관련이 없으며, 중요(important) 등급에 CVSS 8.1로 평가된다.
idp-add 명령어는 호출자가 제공하는 두 가지 값(조직명과 기본 URL)을 Python eval() 호출로 전달한다. 이 호출은 명령어를 ID 공급자 관리자로 제한하려는 권한 확인 이전에 실행되므로, 서버의 모든 계정이 권한에 관계없이 이 코드에 접근할 수 있다.
이 호출은 괄호를 금지하는 패턴으로 제한되어 함수 호출이 불가능하며, Red Hat은 "코드 실행은 불가능하다"고 밝혔다.
공격자가 할 수 있는 것은 서버가 반환하는 오류를 관찰해 서버 프로세스의 환경변수를 하나씩 읽어내는 것과, 짧은 산술 표현식으로 서버 메모리를 고갈시키는 것이다.
그 심각도는 FreeIPA 설치 방식에 따라 달라진다고 Red Hat은 말한다. 일반적인 패키지 기반 설치에서는 프로세스 환경이 문서화된 경로와 설정만을 담는다. 컨테이너 설치는 다르다.
공식 FreeIPA 서버 이미지는 종종 최초 부팅 시 Directory Manager와 관리자 비밀번호를 환경변수로 전달받으며, 설정 완료 후에도 이 비밀번호가 남아 있으면 노출될 수 있다.
Red Hat은 FreeIPA 체인과 디렉터리 서버 결함 제보자로 Calif의 Gia Bui를 공로자로 밝혔으며, idp-add 결함은 Anthropic과 협력한 Calif의 공로로 기재했다.
지금 관리자가 할 수 있는 일
수정은 세 곳에서 세 시점에 걸쳐 이루어졌으므로, 적용 방법은 패치하는 소프트웨어에 따라 다르다.
| 구성 요소 | 설치할 버전 | 확인 시점 상태 |
|---|---|---|
| FreeIPA(프로젝트 배포) | FreeIPA 4.13.4 | 두 FreeIPA 결함 모두 수정. 릴리스 노트에 날짜 및 영향받는 이전 버전 미기재. |
| Red Hat Enterprise Linux 및 Red Hat Directory Server의 389-ds-base | 각 릴리스 권고 참조 | 8월 9일 01:56~05:07 UTC 사이 권고 14건 게시(389-ds 버그 레코드 참조). RHSA-2026:64785는 389-ds-base-3.2.0-10.el10_2로 Red Hat Enterprise Linux 10을 다루며, 위험 등급으로 이 결함 외 389-ds 결함 4건을 추가로 포함. |
Red Hat Enterprise Linux의 ipa 패키지 | 미정 | 9월 8일 확인 시점 기준, 두 FreeIPA 결함 모두 수정 버전 및 권고 미기재. |
| Fedora의 389-ds-base | 업데이트 테스트 중 | 9월 8일 확인 시점에 Fedora 트래커가 ON_QA 상태. |
14건의 목록에 Red Hat Enterprise Linux 9에 대한 권고는 없었다. 이는 9월 8일 기준 버그 레코드에서 확인된 사항이며, 해당 릴리스에 수정이 오지 않는다는 의미가 아니다.
수정 패키지를 사용할 수 없는 경우, Red Hat은 체인에 대해 두 가지 임시 조치를 제공한다:
- 방화벽 규칙이나 네트워크 분리를 사용해 LDAP 서비스(일반적으로 포트 389, 636) 접근을 신뢰하는 호스트로만 제한한다.
- 익명 LDAP 바인드를 비활성화하면 이 특정 경로를 차단할 수 있다고 Red Hat은 밝히나, 배포 환경의 다른 구성 요소가 이를 필요로 하지 않는지 먼저 확인해야 한다.
idp-add 결함에 대해서는 그러한 옵션이 없다. Red Hat은 일반 인증 계정이 해당 코드에 접근하는 것을 막는 설정값이 없으며, 수정 패키지가 필수라고 말한다. 또한 컨테이너 설치를 운영하는 경우 최초 부팅 시 설정된 비밀번호가 실행 중인 프로세스 환경에 더 이상 남아있지 않은지 확인할 것을 권고한다.
공개된 자료에는 두 가지 의문이 해소되지 않은 채로 남아 있다. Red Hat과 FreeIPA 프로젝트 모두 389-ds 업데이트만으로 ipa 패키지가 구버전인 서버에서의 FreeIPA 공격을 차단할 수 있는지 밝히지 않았다.
또한 수정을 적용해도 공격자가 미리 만들어둔 자격증명이 제거되는지, 그리고 관리자가 이를 확인하려면 무엇을 찾아봐야 하는지도 밝히지 않았다.
권고문과 버그 보고서 어디에도 탐지 규칙이나 침해지표(IoC)는 공개되지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
