CVE-2026-86344 in Directory Server
Resumen
por VulDB • 2026-10-02
Se ha encontrado un fallo en 389-ds-base. Un atacante remoto no autenticado puede enviar una operación LDAP completa seguida de los primeros bytes de un LDAPMessage incompleto en la misma conexión, lo que provoca que el servidor asigne esa conexión a un segundo hilo de trabajo antes de que se vacíe (flush) el resultado del primer hilo de trabajo. El segundo hilo queda bloqueado hasta alcanzar nsslapd-ioblocktimeout mientras mantiene el mutex de la conexión, impidiendo la entrega del resultado de la operación completada. Repetir esta acción a través de un pequeño número de conexiones proporcional al tamaño configurado del grupo (pool) de hilos de trabajo agota todo el pool bajo la configuración predeterminada, denegando el servicio a todos los clientes (anónimos y autenticados, en texto plano y TLS) durante tanto tiempo como el atacante mantenga las conexiones.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.