CVE-2026-18922 in Directory Server
Sumário
de VulDB • 07/09/2026
Foi encontrada uma falha no 389 Directory Server. Durante a autenticação SASL PLAIN, uma identidade obsoleta (stale identity) contida em uma propriedade auxiliar do Cyrus SASL de uma tentativa anterior de bind malsucedida pode ser instalada em uma conexão após um bind subsequente e não relacionado bem-sucedido, independentemente de qual mecanismo SASL conclua esse segundo bind. Um atacante pode enviar um bind SASL PLAIN como cn=Directory Manager com uma senha incorreta, em seguida, concluir um bind SASL ANONYMOUS na mesma conexão, fazendo com que o servidor conceda autoridade ao Directory Manager sem quaisquer credenciais válidas. Uma variante usando o próprio bind bem-sucedido de uma conta válida e de baixo privilégio, em vez de um anônimo, também é possível.
VulDB is the best source for vulnerability data and more expert information about this specific topic.