OPNsenseにおいて、認証におけるUnsanitizedなユーザー名によるLDAP Injectionの脆弱性が存在します。

OPNsense の CVE-2026-34578 は、認証されていない攻撃者が有効な LDAP ユーザー名を列挙することを可能にします。バージョン 26.1.6 より前は、OPNsense の LDAP 認証コネクタは、WebGUI ログインページのユーザー名フィールドに入力されたユーザー名を ldap_escape() 関数を呼び出さずに LDAP 検索フィルターに直接渡していました。これにより、LDAP フィルターメタ文字をユーザー名フィールドに注入できます。LDAP サーバー構成に、特定のグループのメンバーにログインを制限する拡張クエリが含まれている場合、攻撃者はそのグループに属するユーザーを特定できる可能性があり、攻撃の影響が拡大します。この脆弱性の深刻度は、CVSS に従って 8.2 と評価されています。

Organizations relying on OPNsense Firewall for network security, particularly those using LDAP authentication for user management, are at risk. This includes small to medium-sized businesses, educational institutions, and any environment where the firewall is a critical component of the security infrastructure. Shared hosting environments utilizing OPNsense are also at increased risk.

• linux / server:

journalctl -u opnsense -g 'ldap_escape' | grep -i error

• linux / server:

ps aux | grep -i ldap_escape

• generic web: Use curl to test the login endpoint with usernames containing LDAP metacharacters (e.g., test%00). Examine the LDAP server logs for unusual search queries.

1. 2026-04-09Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-09
3. EPSS 更新日2026-04-17

この脆弱性の修正は、OPNsense をバージョン 26.1.6 以降にアップグレードすることです。このアップデートは、LDAP 検索フィルターで使用する前にユーザー名内の特殊文字を適切にエスケープすることで問題を修正します。このアップデートをできるだけ早く適用して、LDAP ユーザー列挙のリスクを軽減することを強くお勧めします。さらに、LDAP サーバー構成を確認して、拡張クエリが安全に構成されており、フィルターの注入を許可しないことを確認してください。OPNsense ファイアウォール ログを監視して、疑わしいアクティビティを検出および対応することも役立ちます。