CVE-2026-49268: Injeção de DN LDAP no DefaultLdapRealm do Apache Shiro
A CVE-2026-49268 é uma falha de injeção LDAP na classe DefaultLdapRealm do Apache Shiro. Nomes de usuário são concatenados ao Distinguished Name LDAP sem escape dos caracteres especiais da RFC 2253, o que pode alterar a autenticação por bind. O registro indica correções nas versões 2.2.1 e 3.0.0-alpha-2, e não há exploração confirmada nas fontes consultadas.
Visão geral
O Apache Shiro é um framework de segurança para Java. Este registro trata da classe DefaultLdapRealm, na qual a entrada de nome de usuário é concatenada a um modelo de Distinguished Name LDAP sem escape dos caracteres especiais definidos na RFC 2253. A fraqueza é classificada como CWE-90 (injeção LDAP) e foi publicada pela CNA da Apache em 17/06/2026.
Impacto
Segundo o registro, uma parte remota que controla o valor do nome de usuário pode alterar o DN usado na autenticação LDAP por bind. O registro associa isso a um possível contorno de autenticação ou à personificação de outros usuários. O NVD informa pontuação CVSS 3.1 base de 9.1 (crítica), com alto impacto em confidencialidade e integridade. A Apache informa pontuação CVSS 4.0 de 8.8 no registro.
Produtos e versões afetadas
- Apache Shiro até a versão 2.2.0, quando se usa o DefaultLdapRealm.
- Apache Shiro da 3.0.0-alpha-0 até a 3.0.0-alpha-1, inclusive, quando se usa o DefaultLdapRealm.
- A faixa afetada também inclui versões anteriores à 2.2.1, conforme os dados estruturados de versão.
As versões corrigidas citadas no registro são a 2.2.1 e a 3.0.0-alpha-2 ou posteriores. O campo de correções do registro está vazio, portanto a informação de correção vem do texto da descrição.
Status de exploração
O registro não consta no catálogo KEV da CISA, por isso esta análise não relata exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração do SSVC é none e o campo de automatizável é yes. A probabilidade EPSS é 0.00755, com percentil de 0.54649.
Correção e mitigação
- Atualize o Apache Shiro para a 2.2.1, ou para a 3.0.0-alpha-2 ou posterior, conforme indicado no registro.
- Se a atualização imediata não for possível, verifique se o DefaultLdapRealm está em uso e limite a exposição dos endpoints de autenticação que dependem dele.
- Garanta que valores fornecidos pelo usuário usados na montagem de consultas ou DNs LDAP sejam escapados conforme as regras do LDAP no código da aplicação, além da correção da biblioteca.
Orientações de detecção
- Revise os logs de autenticação em busca de tentativas de bind com nomes de usuário incomuns, contendo caracteres especiais do LDAP ou estruturas de DN inesperadas.
- Monitore logins bem-sucedidos de contas que não correspondam ao perfil esperado de usuários.
- Compare a atividade de bind no diretório com padrões de referência da aplicação.
Limitações das informações disponíveis
O registro não inclui lista de correções, então as versões corrigidas dependem do texto da descrição. Os dados estruturados de versão incluem uma entrada com formato diferente das demais, e esta análise não a utiliza. As fontes consultadas não descrevem prova de conceito nem detalhes de exploração, e o registro não informa se outros ramos suportados são afetados.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-49268?
O nome de usuário é concatenado a um Distinguished Name LDAP na classe DefaultLdapRealm sem escape dos caracteres especiais da RFC 2253, o que corresponde à CWE-90, injeção LDAP.
Quais versões do Apache Shiro recebem correção?
Segundo o texto da descrição do registro, atualizar para a 2.2.1 ou para a 3.0.0-alpha-2 ou posterior corrige o problema. O campo de correções do registro está vazio, então administradores devem confirmar no aviso do fornecedor.
Há exploração ativa conhecida?
O registro não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.