<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On 20 January 2015 at 17:06, Yves-Alexis Perez <span dir="ltr"><<a href="mailto:corsac@debian.org" target="_blank">corsac@debian.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div class=""><div class="h5"><span style="color:rgb(34,34,34)">thanks for the notice. At first sight, since it's really vulnerable</span><br></div></div>
when used with local authentication, I would have advised to use a stable upload.<br>
<br>
But considering the silent configuration update (which might surprise<br>
people, especially in stable) and the fact we don't really know how<br>
administrators might use user attributes to handle authorizations, it<br>
might makes sense to release a DSA, in order to have more exposure.<br>
<br>
OpenLDAP team, what do you think? I can also request a CVE on oss-sec,<br>
so we have a broader idea of what security people think about this.<br></blockquote><div><br></div><div>I don't see any response from the OpenLDAP team yet :-(.<br></div><div><br></div><div><br></div><div>It is perhaps worth noting that the official OpenLDAP documentation has the same issue.</div><div><br></div><div><<a href="http://www.openldap.org/doc/admin24/access-control.html#Basic">http://www.openldap.org/doc/admin24/access-control.html#Basic</a> ACLs></div><div><br></div><div>Has "Generally one should start with some basic ACLs such as:" and the example includes "access to * by self write"</div><div><br></div><div><br></div><div>People I have talked to locally have immediately asked me "where is the CVE?" so I think a CVE would be a good idea. I have found a number of wheezy based systems I have deployed in recent months have had exactly this problem, some after #<a href="https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=761406" target="_blank" style="font-size:13px">761406</a> was filled, so better exposure would be a good thing.</div><div><br></div><div>The argument could be made that OpenLDAP is only a database, it is up to sysadmin's to configure appropriately, however using LDAP for user authentication seems to be most common.</div><div>(plus I can't think of any application where "access to * by self write" would actually be a good idea.)<br></div><div><br></div><div>I believe the version in Jessie has been changed to warn administrators of the problem, however this wasn't back-ported as a security update for stable; although nice, I don't think it is absolutely necessarily for a back-port to occur.</div></div>-- <br><div class="gmail_signature">Brian May <<a href="mailto:brian@microcomaustralia.com.au" target="_blank">brian@microcomaustralia.com.au</a>></div>
</div></div>