🟠 CVE-2026-11610: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-11610 beschreibt eine kritische Heap-Buffer-Overflow-Schwachstelle in der SASL-I/O-Schicht des 389 Directory Server (389-ds-base). Die Vulnerabilität ermöglicht authentifizierten Angreifern, speziell gestaltete LDAP-UNBIND-Pakete zu versenden, die zu einem Pufferüberlauf und damit zum Absturz des Servers führen. Mit einem CVSS-Score von 8.8 wird diese Schwachstelle als High-Severity eingestuft.

Betroffene Systeme

Die Vulnerabilität betrifft 389-ds-base ab Version 1.3.2 (ca. 2013) bis zur aktuellen Version. Besonders kritisch ist die Auswirkung auf FreeIPA und Red Hat Identity Management (RHIM) Deployments. In diesen Umgebungen können Domänenbenutzer mit gültigen Kerberos-Tickets, registrierte Hosts oder Service-Accounts die Schwachstelle nach GSSAPI-Authentifizierung über das Netzwerk ausnutzen.

Technische Details

Der Fehler liegt in der Funktion sasl_io_recv() in der Datei sasl_io.c. Nach erfolgreicher SASL-Authentifizierung mit Integritätsschutz (SSF > 0) wird ein 512-Byte-Heap-Empfangspuffer ohne Bounds-Überprüfung verwendet. Dies ermöglicht es Angreifern, bis zu 2 Megabyte an kontrollierten Daten in den Buffer zu schreiben. Der anfällige Code-Pfad existiert seit über einem Jahrzehnt und wurde durch den CVE-2025-14905-Patch nicht behoben, der nur eine separate Heap-Overflow in schema.c adressierte.

Empfohlene Massnahmen

• Implementierung von Netzwerk-Zugriffsbeschränkungen auf LDAP-Dienste (Port 389/636)
• Überwachung von unerwarteten Verbindungsabbrüchen und LDAP-Fehlern
• Regelmäßige Überprüfung von Directory-Server-Logs auf verdächtige UNBIND-Pakete
• Segmentierung von LDAP-Infrastruktur in isolierte Netzwerkzonen
• Regelmäßige Sicherheits-Updates einspielen sobald verfügbar

Bewertung

Mit einem CVSS-Score von 8.8 und der Verfügbarkeit des Exploits handelt es sich um eine ernsthafte Bedrohung. Die lange Existenz des Code-Defekts und die breite Auswirkung auf Identitätsmanagementsysteme erfordern sofortige Aufmerksamkeit. Derzeit existiert kein offizieller Patch; daher sind präventive Kontrollmechanismen essenziell.

„`