389 Directory Server: Denial of Service durch Erschöpfung des Worker-Thread-Pools
Zusammenfassung
Ein nicht authentifizierter Angreifer aus dem Netzwerk kann den Worker-Thread-Pool des LDAP-Servers 389 Directory Server (389-ds-base) erschöpfen. Dazu sendet er auf derselben Verbindung eine vollständige LDAP-Operation, gefolgt von den ersten Bytes einer unvollständigen LDAPMessage, und blockiert so Worker-Threads mit nur wenigen Verbindungen. Die Konfiguration ist standardmässig betroffen, weshalb alle Clients, anonym und authentifiziert, über Klartext und TLS keinen Dienst mehr erhalten, solange der Angreifer die Verbindungen offen hält. Vertraulichkeit und Integrität der Verzeichnisdaten sind nicht betroffen, und der Dienst wird nach der Freigabe der Verbindungen innert etwa einer Sekunde wieder verfügbar.
Betroffen
- Red Hat Directory Server 11, 12 und 13 (Standard: betroffen)
- Red Hat Enterprise Linux 8, 9 und 10 (Standard: betroffen)
- Red Hat Enterprise Linux 6 und 7 (Standard: unbekannt)
Behoben in
Unbekannt. In den geprüften Quellen wurde keine korrigierte Paketversion bestätigt. Die korrigierte 389-ds-base-Version ist auf der Red-Hat-CVE-Seite zu prüfen.
Umgehung
- Die Anzahl gleichzeitiger Verbindungen pro Quell-IP-Adresse vor dem LDAP-Listener begrenzen, zum Beispiel mit einer Firewall, einem Load Balancer oder fail2ban.
- Ein Update auf ein korrigiertes Paket ist die einzige vollständige Lösung.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Für die Ausnutzung genügen wenige gleichzeitige Verbindungen, eine Authentifizierung ist nicht nötig.
Unsere Empfehlung
- Prüfen, ob 389-ds-base oder Red Hat Directory Server im Einsatz ist, und die installierte Version ermitteln.
- LDAP-Zugriffe auf vertrauenswürdige Netze beschränken und die Anzahl gleichzeitiger Verbindungen pro Quell-IP begrenzen.
- Das korrigierte Paket des Herstellers sobald verfügbar installieren und die LDAP-Verbindungsanzahl sowie die Verfügbarkeit überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE page CVE-2026-86344 access.redhat.com
- Red Hat Bugzilla 2529329 bugzilla.redhat.com
- OSV Debian CVE-2026-86344 osv.dev
- Red Pacet Security CVE alert CVE-2026-86344 www.redpacketsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 23:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.