CVE-2026-86344

Nome do Software Vulnerável e Versões Afetadas 389-ds-base (versões afetadas não especificadas)

Descrição Um invasor remoto não autenticado pode causar a negação de serviço ao enviar uma operação LDAP completa seguida pelos bytes iniciais de uma LDAPMessage incompleta na mesma conexão. Essa sequência força o servidor a atribuir a conexão a um segundo thread de trabalho antes que o resultado do primeiro worker seja liberado. O segundo worker então bloqueia até que o nsslapd-ioblocktimeout seja atingido enquanto retém o mutex de conexão, o que impede a entrega do resultado da operação concluída. Ao repetir esse processo em um pequeno número de conexões proporcional ao tamanho do pool de threads de trabalho configurado, um invasor pode esgotar todo o pool sob as configurações padrão, negando o serviço a todos os clientes, incluindo usuários anônimos e autenticados via plaintext e TLS.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.