LDAP NULL BASE 搜尋存取

medium Nessus Plugin ID 10722

Synopsis

遠端 LDAP 伺服器可能會洩漏敏感資訊。

描述

遠端 LDAP 伺服器支援基底物件為 NULL (或空白) 的搜尋要求。這允許不需事先知道目錄結構即可擷取資訊。若配合 NULL BIND,匿名使用者可以使用「LdapMiner」之類的工具查詢您的 LDAP 伺服器。

請注意,允許使用 NULL 基底進行查詢的有效原因有很多。
例如,LDAP 通訊協定版本 3 中要求提供 root DSA 特定輸入 (DSE) 存取權,包括支援的命名內容、驗證類型等相關資訊。這也表示合法使用者以不需要事先知道結構,即可尋找目錄中的資訊。因此,此尋找可能為誤報。

解決方案

若遠端 LDAP 伺服器支援 v3 以前的 LDAP 通訊協定版本,請考慮是否停用 LDAP 伺服器上的 NULL BASE 查詢。

另請參閱

https://support.microsoft.com/en-us/help/837964

Plugin 詳細資訊

嚴重性: Medium

ID: 10722

檔案名稱: ldap_null_base.nasl

版本: 1.28

類型: remote

系列: Misc.

已發布: 2001/8/13

已更新: 2022/2/28

風險資訊

CVSS 評分論據: Information disclosure vulnerability

CVSS v2

風險因素: Medium

基本分數: 5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: manual