CVE-2026-114457
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W module mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie specjalnie spreparowanego żądania JSON przy włączonym filtrowaniu treści JSON. Z powodu nieprawidłowego zakończenia ciągu znaków podczas przetwarzania danych zakodowanych procentowo moduł odczytuje pamięć poza zaalokowanym buforem, co może spowodować awarię procesu roboczego Apache.
Ocena ryzyka
Nieuwierzytelniony atakujący może powodować awarie procesów Apache i destabilizować dostępność usług. Ryzyko występuje, gdy włączone jest filtrowanie treści JSON.
Rekomendacja
Zaktualizuj mod_qos do wersji z poprawką lub wyłącz filtrowanie treści JSON do czasu wdrożenia aktualizacji. Sprawdzaj logi pod kątem nieoczekiwanych restartów procesów roboczych.
Inne podatności w mod_qos
Zobacz wszystkie- CVE-2026-114460Średnie
W module mod_qos występuje błąd obliczenia wskaźnika typu off-by-one podczas łączenia parametrów treści żądania z istniejącym zapytaniem URL. Powoduje to obcięcie ciągu zapytania podczas oceny bezpieczeństwa, podczas gdy rzeczywiste żądanie pozostaje niezmienione. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie, które ukrywa zabronione wartości przed inspekcją, omijając skonfigurowane reguły bezpieczeństwa.
- CVE-2026-114459Niskie
W module mod_qos wykryto błąd polegający na nieprawidłowym sprawdzaniu granic podczas analizy treści odpowiedzi HTTP, co powoduje odczyt pamięci poza zaalokowanym buforem. Nieuwierzytelniony zdalny atakujący może to wykorzystać, wywołując specjalnie spreparowane odpowiedzi serwera, co powoduje awarię procesu roboczego Apache i odmowę usługi (DoS).
- CVE-2026-114458Średnie
W mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez utrzymywanie wielu równoczesnych połączeń o niskim natężeniu do serwera. Gdy monitorowanie szybkości połączeń jest aktywne, moduł nie weryfikuje granic tablicy podczas zapisywania adresów IP klientów, co prowadzi do przepełnienia bufora sterty i awarii procesu serwera WWW.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in mod_qos. An unauthenticated remote attacker could cause a Denial of Service (DoS) by sending a specially crafted JSON request when JSON body filtering is enabled. Due to improper string termination during the processing of percent-encoded input, the module reads past allocated memory boundaries, which can cause an Apache worker process to crash.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS