p PatchFirst

CVE-2026-86345

CVE-2026-86345 · 389-ds-base: 389-ds-base: starttls plaintext-buffer retention allows on-path attacker to forge an ldap client's authentication result

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

A flaw was found in 389-ds-base. The server does not discard plaintext bytes already buffered from a client connection when negotiating StartTLS, allowing an on-path attacker to inject a crafted LDAP message that is processed after the TLS upgrade and whose response is delivered to the client in place of the client's own pending operation's response, due to messageID collision. This can cause a client application to treat a failed authentication (bind) attempt as successful.

CVSS 9.0 · Kritisch · EPSS 0,4%

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • red hat directory server 11

    Keine Korrektur veröffentlicht

  • red hat directory server 12

    Keine Korrektur veröffentlicht

  • red hat directory server 13

    Keine Korrektur veröffentlicht

  • red hat enterprise linux 10

    Keine Korrektur veröffentlicht

  • red hat enterprise linux 6

    Keine Korrektur veröffentlicht

  • red hat enterprise linux 7

    Keine Korrektur veröffentlicht

  • red hat enterprise linux 8

    Keine Korrektur veröffentlicht

  • red hat enterprise linux 9

    Keine Korrektur veröffentlicht

  • 389-ds-base Debian:12

    Softwareversionen
    • 2.3.1+dfsg1-1
    • 2.3.1+dfsg1-1+deb12u1
    • 2.3.4+dfsg1-1
    • 2.3.4+dfsg1-1.1
    • 2.4.4+dfsg1-1
    • 2.4.4+dfsg1-3
    • 2.4.5+dfsg1-1
    • 3.0.2+dfsg1-1
    • 3.1.1+dfsg1-1
    • 3.1.1+dfsg1-2
    • 3.1.1+dfsg1-3
    • 3.1.2+dfsg1-1
    • 3.1.2+vendor1-1
    • 3.1.2+vendor1-2
    • 3.3.0-1
    • 3.3.0-2
    • 3.3.1-1
    • 3.3.1-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Debian:13

    Softwareversionen
    • 3.1.2+dfsg1-1
    • 3.1.2+dfsg1-1+deb13u1
    • 3.1.2+vendor1-1
    • 3.1.2+vendor1-2
    • 3.3.0-1
    • 3.3.0-2
    • 3.3.1-1
    • 3.3.1-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 1.3.3.12-1build1
    • 1.3.3.13-1
    • 1.3.4.5-2
    • 1.3.4.8-1
    • 1.3.4.8-3
    • 1.3.4.8-3ubuntu1
    • 1.3.4.8-4
    • 1.3.4.9-1
    • 1.3.4.9-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.3.7.5-1
    • 1.3.7.5-1build1
    • 1.3.7.5-1build2
    • 1.3.7.9-1
    • 1.3.7.10-1
    • 1.3.7.10-1ubuntu1
    • 1.3.7.10-1ubuntu1+esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.4.1.6-4
    • 1.4.1.6-4build1
    • 1.4.2.4-1
    • 1.4.2.4-1build1
    • 1.4.3.2-1
    • 1.4.3.2-1build1
    • 1.4.3.6-2
    • 1.4.3.6-2ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:22.04:LTS

    Softwareversionen
    • 1.4.4.11-2build1
    • 1.4.4.11-2build2
    • 1.4.4.17-1
    • 2.0.11-2
    • 2.0.14-1
    • 2.0.15-1
    • 2.0.15-1ubuntu2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:24.04:LTS

    Softwareversionen
    • 2.3.4+dfsg1-1
    • 2.4.4+dfsg1-1ubuntu1
    • 2.4.4+dfsg1-1ubuntu4
    • 2.4.4+dfsg1-3
    • 2.4.5+dfsg1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:26.10

    Softwareversionen
    • 3.1.2+vendor1-2
    • 3.1.2+vendor1-2build1
    • 3.3.1-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • 389-ds-base Ubuntu:26.04:LTS

    Softwareversionen
    • 3.1.2+dfsg1-1
    • 3.1.2+vendor1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →