CVE-2026-114458
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez utrzymywanie wielu równoczesnych połączeń o niskim natężeniu do serwera. Gdy monitorowanie szybkości połączeń jest aktywne, moduł nie weryfikuje granic tablicy podczas zapisywania adresów IP klientów, co prowadzi do przepełnienia bufora sterty i awarii procesu serwera WWW.
Ocena ryzyka
Atakujący może zdalnie doprowadzić do uszkodzenia pamięci sterty i awarii serwera Apache, powodując niedostępność usług. Podatność jest łatwa do wywołania poprzez utrzymywanie wielu wolnych połączeń.
Rekomendacja
Zaktualizuj mod_qos do wersji zawierającej poprawkę weryfikacji granic tablicy. Do czasu aktualizacji rozważ wyłączenie monitorowania szybkości połączeń lub ograniczenie liczby równoczesnych połączeń na poziomie serwera proxy.
Inne podatności w mod_qos
Zobacz wszystkie- CVE-2026-114460Średnie
W module mod_qos występuje błąd obliczenia wskaźnika typu off-by-one podczas łączenia parametrów treści żądania z istniejącym zapytaniem URL. Powoduje to obcięcie ciągu zapytania podczas oceny bezpieczeństwa, podczas gdy rzeczywiste żądanie pozostaje niezmienione. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie, które ukrywa zabronione wartości przed inspekcją, omijając skonfigurowane reguły bezpieczeństwa.
- CVE-2026-114459Niskie
W module mod_qos wykryto błąd polegający na nieprawidłowym sprawdzaniu granic podczas analizy treści odpowiedzi HTTP, co powoduje odczyt pamięci poza zaalokowanym buforem. Nieuwierzytelniony zdalny atakujący może to wykorzystać, wywołując specjalnie spreparowane odpowiedzi serwera, co powoduje awarię procesu roboczego Apache i odmowę usługi (DoS).
- CVE-2026-114457Niskie
W module mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie specjalnie spreparowanego żądania JSON przy włączonym filtrowaniu treści JSON. Z powodu nieprawidłowego zakończenia ciągu znaków podczas przetwarzania danych zakodowanych procentowo moduł odczytuje pamięć poza zaalokowanym buforem, co może spowodować awarię procesu roboczego Apache.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in mod_qos. An unauthenticated remote attacker can cause a Denial of Service (DoS) by maintaining numerous concurrent low-rate connections to a target server. When connection rate monitoring is active, the module fails to verify array boundaries when recording client IP addresses, allowing more connection records to be added than the allocated buffer can hold. This issue leads to heap memory corruption, which can crash the web server process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS