Der Ausgangspunkt ist eine von FreeIPA mitgelieferte Zugriffsregel (ACI), die Nutzern erlaubt, ihr eigenes Einmalpasswort-Token zu verwalten. Diese Regel verlangt keine vorherige Anmeldung und begrenzt auch nicht, was neben dem Token geschrieben werden darf.
Gefährlich wird das erst durch den zweiten Fehler. Der 389 Directory Server kennt einen Regeltyp, der ausdrücken soll: „nur der authentifizierte Eigentümer dieses Eintrags". Er vergleicht den Namen des Clients als Klartext mit einem gespeicherten Wert – und ein nicht angemeldeter Client hat einen leeren Namen, der zu einem leeren gespeicherten Wert passt. Ein anonymer Client kann so einen Token-Eintrag mit leeren Eigentümerfeldern erzeugen, die Eigentümerprüfung bestehen, weil er niemand ist, und daneben eine Kerberos-Identität samt Passwort schreiben.
Die Verzeichnisdienst-Lücke führt Red Hat als CVE-2026-76560 mit einem Wert von 7.5 und betont, dass der Red Hat Directory Server standardmäßig keine Regel dieser Form ausliefert – für sich allein ist der Fehler nur dort relevant, wo eine solche Regel angelegt wurde. FreeIPA ist genau so eine Umgebung: Seine mitgelieferte Standardregel hat exakt diese Form, weshalb die Kette gegen eine unveränderte Installation funktioniert. Red Hat hat den Defekt außerdem isoliert auf einem reinen 389-ds-Build ohne FreeIPA-Komponenten nachgestellt; ein Kontrolltest mit einem nicht leeren Wert wurde korrekt abgewiesen. Der Fehler liegt damit in der Zugriffskontroll-Engine.
Die ursprünglich gemeldete Variante gab sich als echtes Admin-Konto aus, indem sie einen passenden Kerberos-Namen erzeugte. Ein früherer Fix für CVE-2026-13097, ausgeliefert in FreeIPA 4.13.3, blockierte diese Kollision, ließ den unauthentifizierten Schreibzugriff aber bestehen. Der Angriff funktioniert nun unter einem frei gewählten Namen und erreicht laut Red Hat „dasselbe praktische Ergebnis". Red Hat spricht von echter Mitgliedschaft in der Administratorengruppe und wiederverwendbaren Administrator-Zugangsdaten. Das FreeIPA-Projekt formuliert enger: Die eingefügte Identität dürfe noch nicht existieren, der Fix für CVE-2026-13097 verhindere die Übernahme bestehender Konten, und der Angriff könne „als Sprungbrett" zu administrativen Rechten dienen.
Geprüft wurde die Kette gegen ein Standard-FreeIPA-Container-Image mit Version 4.13.1, wobei Red Hat die Ergebnisse mit üblichen, nur Administratoren zugänglichen Befehlen kontrollierte statt der Ausgabe des Exploits zu vertrauen. In Umgebungen mit Windows-typischen Security Identifiers kann der Angreifer zusätzlich ein Kerberos-Ticket mit Autorisierungsdaten erhalten und damit auf die HTTP- und Dogtag-Dienste des Servers zugreifen – Dogtag ist die eingebaute Zertifizierungsstelle von FreeIPA.
Unabhängig von der Kette veröffentlichte Red Hat eine zweite FreeIPA-Lücke, CVE-2026-79678, eingestuft als bedeutend mit 8.1. Der Befehl idp-add übergibt zwei vom Aufrufer gelieferte Werte – Organisationsname und Basis-URL – an einen Python-eval()-Aufruf, und zwar vor der Berechtigungsprüfung, die den Befehl auf Identity-Provider-Administratoren beschränken soll. Jedes Konto auf dem Server erreicht diesen Code. Ein Muster verbietet Klammern und damit Funktionsaufrufe; „Codeausführung ist nicht möglich", so Red Hat. Möglich bleibt, Umgebungsvariablen des Serverprozesses einzeln über die zurückgegebenen Fehler auszulesen und mit einem kurzen Rechenausdruck den Speicher zu erschöpfen. Bei paketbasierten Installationen enthält die Prozessumgebung nur dokumentierte Pfade und Einstellungen; das offizielle FreeIPA-Server-Image nimmt hingegen Directory-Manager- und Administratorpasswort beim ersten Start häufig als Umgebungsvariablen, die exponiert sein können, wenn sie nach der Einrichtung bestehen bleiben.
Für idp-add gibt es laut Red Hat keine Konfigurationsmaßnahme, die ein gewöhnliches authentifiziertes Konto von diesem Code fernhält – ein gefixtes Paket ist zwingend. Betreiber von Container-Installationen sollen prüfen, dass das beim ersten Start gesetzte Passwort nicht mehr in der laufenden Prozessumgebung steht. Für die Kette nennt Red Hat zwei vorläufige Zwischenschritte. Die Meldung des idp-add-Fehlers schreibt Red Hat Calif in Zusammenarbeit mit Anthropic zu.
Offen bleibt, ob 389-ds-Updates allein den FreeIPA-Angriff auf Servern mit veralteten ipa-Paketen stoppen und ob ein Fix zuvor angelegte Angreifer-Identitäten entfernt. Ein Advisory für einfaches Red Hat Enterprise Linux 9 tauchte in der Liste von vierzehn Einträgen nicht auf – das entspricht dem Stand des Fehlerdatensatzes am 8. September.