n8n — это платформа автоматизации рабочих процессов с открытым исходным кодом. До версий 2.4.0 и 1.121.0, когда включена аутентификация LDAP, n8n автоматически связывал идентификатор LDAP с существующей локальной учетной записью, если атрибут электронной почты LDAP соответствовал адресу электронной почты локальной учетной записи. Аутентифицированный пользователь LDAP, который может управлять своим собственным атрибутом электронной почты LDAP, может установить его в соответствии с адресом электронной почты другого пользователя, в том числе администратора, и после входа в систему получить полный доступ к этой учетной записи.
Привязка учетной записи сохранялась, даже если адрес электронной почты LDAP позже был восстановлен, что привело к окончательному захвату учетной записи. Аутентификация LDAP должна быть настроена и активна (не по умолчанию). Проблема исправлена в версиях n8n 2.4.0 и 1.121.0.
Пользователям следует выполнить обновление до одной из этих версий или более поздней, чтобы устранить уязвимость. Если обновление невозможно немедленно, администраторам следует рассмотреть следующие временные меры: отключить аутентификацию LDAP до тех пор, пока экземпляр не будет обновлен, ограничить разрешения каталога LDAP, чтобы пользователи не могли изменять свои собственные атрибуты электронной почты, и/или провести аудит существующих учетных записей, связанных с LDAP, на предмет непредвиденных ассоциаций учетных записей. Эти обходные пути не полностью устраняют риск и должны использоваться только в качестве краткосрочных мер по снижению риска.
Показать оригинальное описание (EN)
n8n is an open source workflow automation platform. Prior to versions 2.4.0 and 1.121.0, when LDAP authentication is enabled, n8n automatically linked an LDAP identity to an existing local account if the LDAP email attribute matched the local account's email. An authenticated LDAP user who could control their own LDAP email attribute could set it to match another user's email — including an administrator's — and upon login gain full access to that account. The account linkage persisted even if the LDAP email was later reverted, resulting in a permanent account takeover. LDAP authentication must be configured and active (non-default). The issue has been fixed in n8n versions 2.4.0 and 1.121.0. Users should upgrade to one of these versions or later to remediate the vulnerability. If upgrading is not immediately possible, administrators should consider the following temporary mitigations: Disable LDAP authentication until the instance can be upgraded, restrict LDAP directory permissions so that users cannot modify their own email attributes, and/or audit existing LDAP-linked accounts for unexpected account associations. These workarounds do not fully remediate the risk and should only be used as short-term mitigation measures.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
— |
1.121.0
|
|
N8n N8n
cpe:2.3:a:n8n:n8n:*:*:*:*:*:node.js:*:*
|
2.0.0
|
2.4.0
|