Уязвимость CVE-2026-104031 в SSSD: исчерпание памяти через autofs responder
В SSSD обнаружена уязвимость CVE-2026-104031, позволяющая локальному атакующему вызвать отказ в обслуживании путём исчерпания памяти. Проблема затрагивает конфигурации с включённым autofs responder и актуальна для Red Hat Enterprise Linux версий 6–10 и OpenShift Container Platform 4. Уровень критичности — средний (CVSS 5.5).
Подробности
Уязвимость затрагивает autofs responder — службу SSSD, которая обрабатывает запросы автоматического монтирования файловых систем. В конфигурациях, где эта служба включена, память, выделяемая при успешной обработке запроса, не освобождается до момента разрыва соединения с клиентом. Иными словами, ресурсы удерживаются на протяжении всего времени существования клиентской сессии. Локальный атакующий может воспользоваться этим: удерживая открытое соединение и многократно отправляя корректные запросы, он постепенно накапливает объём занятой памяти. Со временем это приводит к её исчерпанию и, как следствие, к отказу в обслуживании (Denial of Service). Поскольку эксплуатация требует локального доступа, вектор атаки ограничен, однако при наличии учётной записи в системе злоумышленник способен нарушить работу SSSD и зависимых служб. Под уязвимость подпадают следующие продукты: — Red Hat Enterprise Linux 6, 7, 8, 9, 10; — Red Hat OpenShift Container Platform 4. Стоит учитывать, что SSSD широко применяется в корпоративных инфраструктурах для интеграции с LDAP, Kerberos и другими службами каталогов, поэтому последствия эксплуатации могут затронуть аутентификацию и доступ к сетевым ресурсам на множестве хостов.Что делать
Основная рекомендация — установить обновления SSSD, выпущенные вендором. Red Hat обычно публикует исправления в рамках errata для соответствующих версий RHEL и OpenShift; администраторам следует отслеживать официальные бюллетени безопасности и применять патчи в приоритетном порядке. Если немедленное обновление невозможно, в качестве временной меры можно рассмотреть отключение autofs responder в конфигурации SSSD, если эта функциональность не используется в вашей среде. Это устраняет поверхность атаки, поскольку уязвимость проявляется только при активной службе. Также целесообразно ограничить круг локальных пользователей, имеющих доступ к системе, и контролировать подозрительную активность соединений с autofs. Дополнительно рекомендуется мониторить потребление памяти процессами SSSD и настроить оповещения о резком росте — это поможет своевременно выявить попытки эксплуатации. Итог: CVE-2026-104031 — уязвимость среднего уровня, требующая локального доступа, но способная привести к отказу в обслуживании на хостах с включённым autofs responder. Наиболее надёжное решение — своевременная установка официальных обновлений; при отсутствии такой возможности помогает отключение уязвимой службы.Источник: CVE Project (cvelistV5)