Нужен правильный фильтр поиска в LDAP

В каталоге есть группы пользователей примерно с таким DN:

CN=group###,ou=stable,ou=###,o=org

т.е. DN-ы групп отличаются только одним OU и суффиксом в CN.
Помогите составить фильтр, возвращающий всех пользователей-членов этих групп.
Фильтр наподобии

(&(objectClass=inetOrgPerson)(memberOf=cn=group*,ou=stable,ou=*,o=org))

не катит, т.к. нельзя вайлдкартить атрибуты с DN синтаксисом.
Каталог поддерживает LDAP v3
Может, что-нибудь типа:

(&(objectClass=inetOrgPerson)(memberOf=ou:dn:stable)) ?
(в таком варианте тоже не работает)

Как еще можно красиво выкрутиться ?