Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

  - CVE-2018-8763見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

  - CVE-2018-8764アプリケーションがURLのCSRFトークンを漏洩します。これにより、攻撃者が、クロスサイトリクエストフォージェリ攻撃を実行する可能性があります。このため、LDAPアカウントマネージャーにログインしている被害者が、攻撃者が細工したリンクをクリックすると、フロントエンドで好ましくない動作を実行する可能性があります。

検出

DebianDSA-4165-1：ldap-account-manager - セキュリティ更新

high Nessus プラグイン ID 108817

変更ログが見つかりません