CVE-2026-103878
NieznaneStreszczenie
Podatność Cleartext transmission of sensitive information w Apache Directory LDAP API. Operacja StartTLS rozpoczęta po wysłaniu żądania Search może prowadzić do otrzymania danych w postaci zwykłego tekstu przed zakończeniem uzgadniania TLS. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
Ocena ryzyka
Wrażliwe dane mogą być przesyłane bez szyfrowania, co umożliwia atakującemu przechwycenie ich w sieci, naruszając poufność i integralność danych.
Rekomendacja
Zaktualizuj Apache Directory LDAP API do wersji 2.1.9. Dodatkowo upewnij się, że StartTLS jest poprawnie wymuszany i monitoruj ruch sieciowy.
Inne podatności w Apache Directory LDAP API
Zobacz wszystkie- CVE-2026-103885Nieznane
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Serwer LDAP korzystający z LDAP API (np. Apache DS) może zużywać 100% mocy jednego rdzenia CPU w nieskończoność podczas przetwarzania niektórych źle sformułowanych numerów telefonów. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103880Nieznane
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Przechowywanie hasła przy użyciu algorytmu bcrypt z wysoką siłą (np. 30) w serwerze LDAP, który obsługuje ten algorytm, spowoduje, że CPU serwera będzie pracować godzinami podczas sprawdzania poświadczeń. Należy wymusić ograniczony koszt, aby uniknąć DoS serwera. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103877Nieznane
Podatność deserializacji niezaufanych danych w Apache Directory LDAP API. Złośliwy lub przejęty serwer LDAP (albo atakujący MITM przed TLS) może odpowiedzieć na zapytanie loadSchema() obiektem schematu zawierającym zserializowaną klasę Java, co potencjalnie umożliwia zdalne wykonanie kodu (RCE). Problem dotyczy wersji od 2.1.0 do 2.1.9.
- CVE-2026-103552Nieznane
Podatność przepełnienia stosu w Apache Directory LDAP API. Przed uwierzytelnieniem klient może wysłać głęboko zagnieżdżony filtr wyszukiwania, który przepełnia stos w dekoderze serwera. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2026-102731Nieznane
Podatność związana z alokacją pamięci o nadmiernym rozmiarze w Apache Directory LDAP API. Złośliwy peer (lub atakujący MITM) może wysłać małą odpowiedź zakodowaną w BER, powodując dużą alokację pamięci przed odebraniem jakichkolwiek danych, co prowadzi do OutOfMemoryError i odmowy usługi. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2015-3250Wysokie
Apache Directory LDAP API przed wersją 1.0.0-M31 umożliwia atakującym przeprowadzanie ataków czasowych za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Cleartext transmission of sensitive information vulnerability in Apache Directory LDAP API. A StartTLS extended operation started after a Search request has been sent can lead to receive data in plain text before the TLS Handshake has been completed. This issue affects Apache Directory LDAP API: from 2.1.0 before 2.1.9. Users are recommended to upgrade to version 2.1.9, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS