CVE-2026-86344 in Directory Server
Sumário
de VulDB • 02/10/2026
Foi encontrada uma falha no 389-ds-base. Um atacante remoto não autenticado pode enviar uma operação LDAP completa seguida pelos primeiros bytes de um LDAPMessage incompleto na mesma conexão, fazendo com que o servidor transfira essa conexão para uma segunda thread de trabalho antes que os resultados da primeira thread sejam despejados (flushed). A segunda thread fica bloqueada até atingir o nsslapd-ioblocktimeout enquanto mantém o mutex da conexão, impedindo a entrega do resultado da operação concluída. Repetir isso em um pequeno número de conexões proporcional ao tamanho do pool de threads de trabalho configurado esgota todo o pool sob configuração padrão, negando serviço a todos os clientes (anônimos e autenticados, plaintext e TLS) enquanto o atacante mantém as conexões ativas.
Once again VulDB remains the best source for vulnerability data.