CVE-2026-103877
NieznaneStreszczenie
Podatność deserializacji niezaufanych danych w Apache Directory LDAP API. Złośliwy lub przejęty serwer LDAP (albo atakujący MITM przed TLS) może odpowiedzieć na zapytanie loadSchema() obiektem schematu zawierającym zserializowaną klasę Java, co potencjalnie umożliwia zdalne wykonanie kodu (RCE). Problem dotyczy wersji od 2.1.0 do 2.1.9.
Ocena ryzyka
Atakujący może doprowadzić do zdalnego wykonania kodu w aplikacji klienckiej LDAP, co grozi pełnym przejęciem systemu. Ryzyko jest szczególnie wysokie w środowiskach łączących się z niezaufanymi serwerami LDAP lub narażonych na ataki MITM.
Rekomendacja
Zaktualizuj Apache Directory LDAP API do wersji 2.1.9, która usuwa tę podatność. Do czasu aktualizacji unikaj łączenia się z niezaufanymi serwerami LDAP i wymuszaj szyfrowanie TLS.
Inne podatności w Apache Directory LDAP API
Zobacz wszystkie- CVE-2026-103885Nieznane
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Serwer LDAP korzystający z LDAP API (np. Apache DS) może zużywać 100% mocy jednego rdzenia CPU w nieskończoność podczas przetwarzania niektórych źle sformułowanych numerów telefonów. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103880Nieznane
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Przechowywanie hasła przy użyciu algorytmu bcrypt z wysoką siłą (np. 30) w serwerze LDAP, który obsługuje ten algorytm, spowoduje, że CPU serwera będzie pracować godzinami podczas sprawdzania poświadczeń. Należy wymusić ograniczony koszt, aby uniknąć DoS serwera. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103878Nieznane
Podatność Cleartext transmission of sensitive information w Apache Directory LDAP API. Operacja StartTLS rozpoczęta po wysłaniu żądania Search może prowadzić do otrzymania danych w postaci zwykłego tekstu przed zakończeniem uzgadniania TLS. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103552Nieznane
Podatność przepełnienia stosu w Apache Directory LDAP API. Przed uwierzytelnieniem klient może wysłać głęboko zagnieżdżony filtr wyszukiwania, który przepełnia stos w dekoderze serwera. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2026-102731Nieznane
Podatność związana z alokacją pamięci o nadmiernym rozmiarze w Apache Directory LDAP API. Złośliwy peer (lub atakujący MITM) może wysłać małą odpowiedź zakodowaną w BER, powodując dużą alokację pamięci przed odebraniem jakichkolwiek danych, co prowadzi do OutOfMemoryError i odmowy usługi. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2015-3250Wysokie
Apache Directory LDAP API przed wersją 1.0.0-M31 umożliwia atakującym przeprowadzanie ataków czasowych za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Apache Directory LDAP API. A rogue/compromised LDAP server (or pre-TLS MITM) can answer a client's loadSchema() subschema search with a schema object that contains a serialized Java class, allowing some potential RCE. This issue affects Apache Directory LDAP API: from 2.1.0 before 2.1.9. Users are recommended to upgrade to version 2.1.9, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS