LDAP Injection in ldapauth

高 7.5CVE-2015-7294 · GHSA-82mg-x548-gq3j · 06/09/2017 公開 · 17/06/2026 更新

要点

CVE-2015-7294 は ldapauth-fork (ldapauth-fork project), ldapauth, ldapauth-fork に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.1%（全脆弱性の 82.1% より高い）。
対処：2.3.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
ldapauth-fork ldapauth-fork_project	`< 2.3.3`	`2.3.3`
ldapauth npm	`全バージョン`	修正版なし
ldapauth-fork npm	`< 2.3.3`	`2.3.3`

概要

Versions 2.2.4 and earlier of ldapauth-fork are affected by an LDAP injection vulnerability. This allows an attacker to inject and run arbitrary LDAP commands via the username parameter.

Recommendation

ldapauth is not actively maintained, having not seen a publish since 2014. As a result, there is no patch available. Consider updating to use ldapauth-fork 2.3.3 or greater.

NVD の説明

ldapauth-fork before 2.3.3 allows remote attackers to perform LDAP injection attacks via a crafted username.

参考情報

nvd.nist.gov/vuln/detail/CVE-2015-7294 · ADVISORY
vesse/node-ldapauth-fork · WEB
vesse/node-ldapauth-fork commit 3feea43 · WEB
vesse/node-ldapauth-fork · PACKAGE
npmjs.com/advisories/18 · WEB
npmjs.com/advisories/19 · WEB
openwall.com/lists/oss-security/2015/09/18/4 · WEB
openwall.com/lists/oss-security/2015/09/18/8 · WEB
openwall.com/lists/oss-security/2015/09/21/2 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

ldapauth-fork

ldapauth-fork_project

< 2.3.3

2.3.3

ldapauth

npm

全バージョン

修正版なし