CVE-2026-86345 in Directory Server
Zusammenfassung
von VulDB • 02.10.2026
Es wurde ein Fehler in 389-ds-base gefunden. Der Server verwirft keine im Klartext vorliegenden Bytes, die bereits aus einer Client-Verbindung zwischengespeichert wurden, während StartTLS ausgehandelt wird. Dies ermöglicht es einem Angreifer auf dem Übertragungsweg (on-path), eine manipulierte LDAP-Nachricht einzuschleusen, die nach dem TLS-Upgrade verarbeitet wird und deren Antwort anstelle der Antwort auf den eigenen ausstehenden Vorgang des Clients zugestellt wird, aufgrund einer Kollision von messageID. Dies kann dazu führen, dass eine Client-Anwendung einen fehlgeschlagenen Authentifizierungsversuch (bind) als erfolgreich behandelt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.