CVE-2026-114459
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W module mod_qos wykryto błąd polegający na nieprawidłowym sprawdzaniu granic podczas analizy treści odpowiedzi HTTP, co powoduje odczyt pamięci poza zaalokowanym buforem. Nieuwierzytelniony zdalny atakujący może to wykorzystać, wywołując specjalnie spreparowane odpowiedzi serwera, co powoduje awarię procesu roboczego Apache i odmowę usługi (DoS).
Ocena ryzyka
Atakujący bez uwierzytelnienia może doprowadzić do wielokrotnych awarii procesów Apache, powodując niedostępność usług sieciowych. Wpływa to na dostępność hostowanych aplikacji.
Rekomendacja
Zaktualizuj mod_qos do wersji zawierającej poprawkę lub tymczasowo wyłącz analizę treści odpowiedzi HTTP. Monitoruj logi Apache pod kątem powtarzających się awarii procesów roboczych.
Inne podatności w mod_qos
Zobacz wszystkie- CVE-2026-114460Średnie
W module mod_qos występuje błąd obliczenia wskaźnika typu off-by-one podczas łączenia parametrów treści żądania z istniejącym zapytaniem URL. Powoduje to obcięcie ciągu zapytania podczas oceny bezpieczeństwa, podczas gdy rzeczywiste żądanie pozostaje niezmienione. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie, które ukrywa zabronione wartości przed inspekcją, omijając skonfigurowane reguły bezpieczeństwa.
- CVE-2026-114458Średnie
W mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez utrzymywanie wielu równoczesnych połączeń o niskim natężeniu do serwera. Gdy monitorowanie szybkości połączeń jest aktywne, moduł nie weryfikuje granic tablicy podczas zapisywania adresów IP klientów, co prowadzi do przepełnienia bufora sterty i awarii procesu serwera WWW.
- CVE-2026-114457Niskie
W module mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie specjalnie spreparowanego żądania JSON przy włączonym filtrowaniu treści JSON. Z powodu nieprawidłowego zakończenia ciągu znaków podczas przetwarzania danych zakodowanych procentowo moduł odczytuje pamięć poza zaalokowanym buforem, co może spowodować awarię procesu roboczego Apache.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in mod_qos. When inspecting HTTP response bodies, improper boundary checking can cause the module to read memory outside allocated buffer boundaries. An unauthenticated remote attacker can exploit this vulnerability by triggering specifically crafted server responses, causing an Apache worker process to crash and resulting in a Denial of Service (DoS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS