PT-2026-45280 · Apache · Apache Directory Ldap Api

Łukasz Kollbek + 1 · Publicado 2026-06-01 · Atualizado 2026-06-02 · CVE-2026-35563

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Apache Directory LDAP API versão 2.1.7

Description A implementação do cliente LDAP não verifica se o certificado do servidor corresponde ao nome de host LDAP pretendido. Embora a cadeia de certificados seja validada contra uma autoridade confiável, a ausência de identificação do endpoint permite que um certificado válido emitido para um host não relacionado seja aceito. Esta falha permite a personificação do servidor e o comprometimento total da conexão se um invasor com capacidades de Man-in-the-Middle (MITM) apresentar um certificado confiável no armazenamento de confiança do cliente.

Recommendations Atualize para a nova versão da API LDAP, na qual a verificação do nome do host é aplicada.

Correção

Enumeração de Fraquezas

CWE-297

Identificadores relacionados

CVE-2026-35563

Produtos afetados

Apache Directory Ldap Api

Referências · 11

• http://openwall.com/lists/oss-security/2026/06/01/2 · Nota
• https://ubuntu.com/security/CVE-2026-35563 · Aviso do Fabricante
• https://t.me/cveNotify/165422 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2026-35563 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2026/06/01/2 · Nota
• https://cve.org/CVERecord?id=CVE-2026-35563 · Nota de Segurança
• https://twitter.com/oss_security/status/2061637545390186815 · Publicação no Twitter
• https://lists.apache.org/thread/5rc2nzqxp1m9wknyf93r8dnp46fhc1nn · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35563 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35563 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35563 · Aviso do Fabricante