CVE-2026-14969
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W 389-ds-base stwierdzono podatność polegającą na użyciu zakodowanego na stałe wektora inicjalizującego (IV) dla szyfrów AES-CBC i 3DES-CBC w backendzie LDBM. Umożliwia to atakującemu z uprzywilejowanym dostępem do systemu plików wykrycie równości tekstu jawnego pomiędzy zaszyfrowanymi wpisami poprzez porównanie bloków ciphertextu.
Ocena ryzyka
Organizacja narażona jest na wyciek informacji o powtarzalności danych w bazie LDAP, co może prowadzić do identyfikacji wzorców atrybutów (np. haseł, kluczy) i osłabienia poufności przechowywanych danych.
Rekomendacja
Należy niezwłocznie zaktualizować 389-ds-base do wersji, w której usunięto zakodowany na stałe IV, oraz rozważyć użycie trybu szyfrowania z losowym IV (np. AES-GCM).
Oryginalny opis (angielski, źródło NVD)
A flaw was found in 389-ds-base where the LDBM backend attribute encryption uses a hardcoded static initialization vector for AES-CBC and 3DES-CBC operations, allowing an attacker with privileged filesystem access to detect plaintext equality across encrypted entries by comparing ciphertext blocks.