Michal Kedzior found two vulnerabilities in LDAP Account Manager, a web front-end for LDAP directories.

  - CVE-2018-8763     The found Reflected Cross Site Scripting (XSS)     vulnerability might allow an attacker to execute     JavaScript code in the browser of the victim or to     redirect her to a malicious website if the victim clicks     on a specially crafted link.

  - CVE-2018-8764     The application leaks the CSRF token in the URL, which     can be use by an attacker to perform a Cross-Site     Request Forgery attack, in which a victim logged in LDAP     Account Manager might performed unwanted actions in the     front-end by clicking on a link crafted by the attacker.

Michal Kedzior found two vulnerabilities in LDAP Account Manager, a web front-end for LDAP directories.

CVE-2018-8763

The found Reflected Cross Site Scripting (XSS) vulnerability might allow an attacker to execute JavaScript code in the browser of the victim or to redirect her to a malicious website if the victim clicks on a specially crafted link.

For Debian 7 'Wheezy', these problems have been fixed in version 3.7-2+deb7u1.

We recommend that you upgrade your ldap-account-manager packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

  - CVE-2018-8763見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

  - CVE-2018-8764アプリケーションがURLのCSRFトークンを漏洩します。これにより、攻撃者が、クロスサイトリクエストフォージェリ攻撃を実行する可能性があります。このため、LDAPアカウントマネージャーにログインしている被害者が、攻撃者が細工したリンクをクリックすると、フロントエンドで好ましくない動作を実行する可能性があります。

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

CVE-2018-8763

見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン3.7-2+deb7u1で修正されました。

お使いのldap-account-managerパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Michal Kedzior 在 LDAP 目錄的 web 前端 LDAP Account Manager 中發現兩個弱點。- CVE-2018-8763 攻擊者可利用發現的反射式跨網站指令碼 (XSS) 弱點，藉著受害者點選特製連結時，在受害者的瀏覽器中執行 JavaScript 程式碼或將其重新導向至惡意網站。- CVE-2018-8764 應用程式在 URL 中洩漏 CSRF 權杖，攻擊者可利用洩漏資訊執行跨網站要求偽造攻擊，導致登入 LDAP Account Manager 的受害者可能會透過點選攻擊者特製的連結而在前端執行非預期動作。

Michal Kedzior在 LDAP 目录的 web 前端 LDAP 帐户管理器中发现两个漏洞。- CVE-2018-8763 发现的反射跨站脚本 (XSS) 漏洞可能允许攻击者在受害者单击特制链接时在受害者的浏览器中执行 JavaScript 代码或将受害者重定向到恶意网站。- CVE-2018-8764 该应用程序泄露了 URL 中的 CSRF 令牌，攻击者可使用该令牌执行跨站请求伪造攻击，在这种情况下，登录 LDAP 帐户管理器的受害者可能会由于单击攻击者特制的链接而在前端执行不必要的操作。

Michal Kedzior 在 LDAP 目錄的 web 前端 LDAP Account Manager 中發現兩個弱點。CVE-2018-8763 攻擊者可利用發現的反射式跨網站指令碼 (XSS) 弱點，藉著受害者點選特製連結時，在受害者的瀏覽器中執行 JavaScript 程式碼或將其重新導向至惡意網站。針對 Debian 7「Wheezy」，這些問題已在 3.7-2+deb7u1 版本中修正。建議您升級 ldap-account-manager 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Michal Kedzior在 LDAP 目录的 web 前端 LDAP 帐户管理器中发现两个漏洞。CVE-2018-8763 发现的反射跨站脚本 (XSS) 漏洞可能允许攻击者在受害者单击特制链接时在受害者的浏览器中执行 JavaScript 代码或将受害者重定向到恶意网站。对于 Debian 7“Wheezy”，这些问题已在 3.7-2+deb7u1 版本中修复。建议您升级 ldap-account-manager 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
108817	Debian DSA-4165-1 : ldap-account-manager - security update	Nessus	Debian Local Security Checks	2018/4/4	2018/11/13	high
108903	Debian DLA-1342-1 : ldap-account-manager security update	Nessus	Debian Local Security Checks	2018/4/10	2021/1/11	medium
108817	DebianDSA-4165-1：ldap-account-manager - セキュリティ更新	Nessus	Debian Local Security Checks	2018/4/4	2018/11/13	high
108903	Debian DLA-1342-1: ldap-account-managerセキュリティ更新	Nessus	Debian Local Security Checks	2018/4/10	2021/1/11	medium
108817	Debian DSA-4165-1：ldap-account-manager - 安全性更新	Nessus	Debian Local Security Checks	2018/4/4	2018/11/13	high
108817	Debian DSA-4165-1：ldap-account-manager - 安全更新	Nessus	Debian Local Security Checks	2018/4/4	2018/11/13	high
108903	Debian DLA-1342-1：ldap-account-manager 安全性更新	Nessus	Debian Local Security Checks	2018/4/10	2021/1/11	medium
108903	Debian DLA-1342-1：ldap-account-manager 安全更新	Nessus	Debian Local Security Checks	2018/4/10	2021/1/11	medium

検出

プラグインの検索

high

medium

high

medium

high

high

medium

medium