CVE-2026-11790
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W 389 Directory Server znaleziono lukę w wtyczce przechowywania haseł PBKDF2-SHA256. Wtyczka nie wymusza górnego limitu liczby iteracji odczytywanej z zapisanych skrótów haseł. Uprzywilejowany atakujący, który może zmodyfikować skrót hasła użytkownika, może spowodować nadmierne zużycie procesora podczas uwierzytelniania, prowadząc do odmowy usługi.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS poprzez manipulację hasłami, co może zakłócić działanie usług katalogowych i wpłynąć na dostępność systemu dla innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację 389 Directory Server do wersji, w której wprowadzono górny limit liczby iteracji PBKDF2-SHA256. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do modyfikacji haseł tylko do zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in 389 Directory Server. The PBKDF2-SHA256 password storage plugin does not enforce an upper bound on the iteration count extracted from stored password hashes. A privileged attacker who can modify a user's password hash can cause excessive CPU consumption during authentication, resulting in denial of service.