安全性 – 这些Lion LDAP漏洞报告中究竟发生了什么?

只需在OSX上阅读有关LDAP断裂的Slashdot thread.任何人都可以准确地解释OpenLDAP正在保护什么以及为什么除Lion机器上存储的数据之外的任何其他东西都可能存在风险?

文章的引用:

“As pen testers, one of the first things we do is attack the LDAP server,” Rob Graham, CEO of auditing firm Errata Security, said. “Once we own an LDAP server we own everything. I can walk up to any laptop (in an organization) and log into it.”

如何从黑客攻击随机的mac LDAP服务器到拥有整个企业?

最佳答案
不要惊慌.这对this article in The Register建议的企业网络来说不是一个巨大的威胁.

Apple Lion是新的,因此与其他操作系统上的类似漏洞相比,这个漏洞引起了不成比例的关注.以下是对同一问题的一些更平静的描述:

>“Mac OS X Lion fails to check passwords when authenticating via LDAP”.
>来自nakedsecurity.sophos.com的Paul Ducklin撰写了关于这个问题的a more reasoned篇文章,以及背后的炒作.

这是Apple Lion系统上的本地漏洞,仅影响该系统. Apple尚未提供任何细节.以下是我理解问题的方法:如果有人成功登录Apple Lion系统,那么其他任何人都可以使用任何密码登录同一系统.这对于该系统来说是一个严重的问题,但损害主要限于该特定系统.不幸的是,该系统现在不太受信任,可能在您的网络上.

此问题不允许黑客自己拥有您的AD / LDAP服务器.您的AD / LDAP服务器仍将拒绝来自任何LDAP客户端的任何不正确的LDAP授权请求.要绕过这一点,将需要LDAP服务器或LDAP协议或配置错误的服务器上的主要缺陷,这与上述问题完全不同.

请记住,此问题仅影响使用LDAP进行身份验证的Apple Lion系统.在大多数组织中,这将是非常少数的客户. Apple Lion服务器可能更容易受到攻击,但Apple需要详细说明这个问题,但他们还没有就此问题做出决定.您能想象RedHat长时间阻止公开漏洞的信息吗?

转载注明原文:安全性 – 这些Lion LDAP漏洞报告中究竟发生了什么? - 代码日志