Vulnerabilidad en himmelblau-idm (CVE-2025-59044)

Himmelblau es una suite de interoperabilidad para Microsoft Azure Entra ID e Intune. Himmelblau 0.9.x deriva GIDs numéricos para grupos de Entra ID del nombre para mostrar del grupo cuando himmelblau.conf 'id_attr_map = name' (la configuración predeterminada). Debido a que Microsoft Entra ID permite múltiples grupos con el mismo 'displayName' (incluidos los grupos personales/O365 creados por el usuario final, dependiendo de la política del inquilino), grupos de directorio distintos pueden colapsar en el mismo GID numérico en Linux. Este problema solo se aplica a las versiones de Himmelblau 0.9.0 a 0.9.22. Cualquier recurso o servicio en un host unido a Himmelblau que aplique la autorización por GID numérico (archivos/directorios, etc.) puede ser accesible de forma no intencionada para un usuario que cree o se una a un grupo diferente de Entra/O365 que casualmente comparta el mismo 'displayName' que un grupo de seguridad privilegiado. Los usuarios deben actualizar a 0.9.23, o 1.0.0 o posterior, para recibir un parche. El mapeo de grupo a GID ahora utiliza IDs de objeto de Entra ID (GUIDs) y no colisiona en grupos con el mismo nombre. Como solución alternativa, utilice el endurecimiento de la política del inquilino para restringir la creación arbitraria de grupos hasta que todos los hosts estén parcheados.