Средний

Опубликована

CVE-2026-78701

389-ds-base: 389-ds-base: cve-2026-11610 incomplete fix may introduce a connection-stall dos

Публикация: 25.08.2026·Обновлена: 06.11.2026, 04:17·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A flaw was found in 389-ds-base. A remote, authenticated attacker could exploit a vulnerability in the Simple Authentication and Security Layer (SASL) UNBIND process. By sending a specially crafted request, the attacker can cause a connection to stall, leading to resource exhaustion and a Denial of Service (DoS) for the server.

Что это значит

Компонент может записать данные за границами выделенной памяти. Последствия зависят от условий атаки и прав процесса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

To mitigate this issue, restrict network access to the 389-ds-base service to only trusted clients and networks. This can be achieved by configuring firewall rules to limit inbound connections to the LDAP ports (typically 389 for LDAP and 636 for LDAPS) to known, authorized IP addresses or subnets. Example using `firewalld`: ```bash # firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="" port port="389" protocol="tcp" accept' # firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="" port port="636" protocol="tcp" accept' # firewall-cmd --reload ``` Replace `` with the actual IP addresses or network ranges of your trusted clients. This action may impact legitimate clients if not configured correctly. A service restart is not required for firewall changes to take effect.

CVE Record: redhat ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Red Hat / Red Hat Enterprise Linux 10

{
  "status": "unaffected",
  "version": "0:3.2.0-10.el10_2",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/o:redhat:enterprise_linux:10.2

Red Hat / Red Hat Enterprise Linux 9

{
  "status": "unaffected",
  "version": "0:2.8.0-10.el9_8",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:enterprise_linux:9::appstream

cpe:/a:redhat:enterprise_linux:9::crb

Red Hat / Red Hat Directory Server 13.2

{
  "status": "unaffected",
  "version": "1788851765",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:directory_server:13.2::el10

Red Hat / Red Hat Directory Server 11

cpe:/a:redhat:directory_server:11

Red Hat / Red Hat Directory Server 12

cpe:/a:redhat:directory_server:12

Red Hat / Red Hat Directory Server 13

cpe:/a:redhat:directory_server:13

Red Hat / Red Hat Enterprise Linux 6

cpe:/o:redhat:rhel_els:6

Red Hat / Red Hat Enterprise Linux 7

cpe:/o:redhat:rhel_els:7

Red Hat / Red Hat Enterprise Linux 8

cpe:/a:redhat:enterprise_linux:8

CVSS: оценки и векторы

CVSS 3.1 · cve6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьнет

A · Доступностьвысокое

CVSS 3.1 · secalert@redhat.com6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьнет

A · Доступностьвысокое

Классы CWE

CWE-787 · Запись за границами выделенной памяти

Источники и ссылки

Бюллетень вендора · access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve Материал · access.redhat.com · cve Материал · bugzilla.redhat.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:16:14.681998+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-06T01:06:23.464552+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-11-06T01:06:23.464552+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-06T01:06:23.464552+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:16:14.681998+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-06T01:06:23.464552+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены06.11.2026, 04:33
Данные обновлены06.11.2026, 04:06
Данные обновлены06.11.2026, 00:16
Данные обновлены05.11.2026, 00:20
Данные обновлены04.11.2026, 00:15
Данные обновлены03.11.2026, 00:14
Данные обновлены02.11.2026, 00:12
Данные обновлены31.10.2026, 11:59
Данные обновлены29.10.2026, 12:41
Опубликована29.10.2026, 00:26

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-86345 389-ds-base: 389-ds-base: starttls plaintext-buffer retention allows on-path attacker to forge an ldap client's authentication result Red Hat / Red Hat Directory Server 11 · Red Hat / Red Hat Directory Server 12	Критический	9.0	0,38 %	02.10.2026
CVE-2026-19404 389-ds-base: 389-ds-base: missing authorization allows anonymous clients to start or abort cleanallruv replication maintenance Red Hat / Red Hat Directory Server 11 · Red Hat / Red Hat Directory Server 12	Средний	6.5	0,43 %	10.08.2026
CVE-2026-18663 389-ds-base: 389-ds-base: pre-authentication double-free in get_ldapmessage_controls_ext() via critical session tracking control Red Hat / Red Hat Directory Server 11 · Red Hat / Red Hat Directory Server 12	Средний	5.9	0,51 %	12.08.2026
CVE-2026-18651 389-ds-base: 389-ds-base: sasl plain bind installs connection credentials before account-lock check, allowing continued access as a locked account Red Hat / Red Hat Directory Server 11 · Red Hat / Red Hat Directory Server 12	Средний	5.4	0,28 %	03.08.2026
CVE-2026-16560 389-ds-base: 389-ds-base: heap-buffer-overflow in rdn_av_swap on quoted multivalued rdn Red Hat / Red Hat Directory Server 11 · Red Hat / Red Hat Directory Server 12	Средний	5.3	0,4 %	22.07.2026