AlmaLinux 9.2 [TuxCare] セキュリティ更新:389-ds-base/389-ds-base-devel/389-ds-base-libs/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1792597970)

critical Nessus プラグイン ID 369969

Language:

概要

AlmaLinux ホストに 1 つ以上のセキュリティ更新がありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1792597970アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 389-ds-base に欠陥が見つかりました。認証されていないリモートの攻撃者が、完全な LDAP 操作に続いて、同じ接続で不完全な LDAPMessage の最初のバイトを送信することで、最初のワーカーの結果がフラッシュされる前にサーバーにその接続を 2 番目のワーカースレッドに渡す可能性があります。2 番目のワーカーは、接続 mutex を保持している間に nsslapd-ioblocktimeout までブロックし、完了した操作の結果の配信を妨げます。構成されたワーカースレッドプールサイズに比例した少数の接続でこれを繰り返すと、デフォルト構成ではプール全体が消費され、攻撃者が接続を維持している限り、すべてのクライアント(匿名および認証、平文およびTLS)に対するサービスが拒否されます。(CVE-2026-86344)

- 389-ds-base に欠陥が見つかりました。StartTLSをネゴシエートするときに、サーバーはクライアント接続からすでにバッファされている平文バイトを破棄しないため、messageIDの衝突により、オンパスの攻撃者が、TLSアップグレード後に処理され、クライアント自身の保留中の操作の応答の代わりにクライアントに応答が配信される細工されたLDAPメッセージを挿入することが可能です。これにより、クライアントアプリケーションが、失敗した認証(bind)試行を成功したものとして処理する可能性があります。(CVE-2026-86345)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。