Уязвимость CVE-2026-104045 в SSSD: DoS через состояние гонки в autofs-респондере
В SSSD обнаружена уязвимость CVE-2026-104045, позволяющая локальному пользователю вызвать отказ в обслуживании через состояние гонки в autofs-респондере. Утечка памяти при конкурентных запросах перечисления и инвалидации карт может привести к падению службы. Уровень опасности — средний (CVSS 4.7).
Подробности
Уязвимость CVE-2026-104045 классифицируется как отказ в обслуживании (Denial of Service) и имеет базовую оценку CVSS 4.7, что соответствует среднему уровню опасности. Согласно описанию, проблема возникает в autofs-респондере при взаимодействии двух асинхронных операций: завершения перечисления карт (enumeration completion) и инвалидации карт (map invalidation). Локальный пользователь, имеющий возможность отправлять запросы к SSSD, может эксплуатировать состояние гонки, многократно и одновременно инициируя перечисление и инвалидацию карт. При определённом стечении обстоятельств такая конкурентная активность приводит к утечке памяти. Накопление утечек ведёт к чрезмерному потреблению оперативной памяти, что в конечном счёте может нарушить работу или вызвать аварийное завершение autofs-службы. Под уязвимость подпадают следующие продукты Red Hat: - Red Hat Enterprise Linux 6, 7, 8, 9 и 10; - Red Hat OpenShift Container Platform 4. Поскольку эксплуатация требует локального доступа к системе, вектор атаки ограничен — злоумышленнику необходимо уже иметь учётную запись на уязвимом хосте. Тем не менее на много_user_ системах и в контейнерных средах, где SSSD используется совместно с autofs, риск дестабилизации сервиса остаётся значимым.Что делать
Основная рекомендация — установить обновления SSSD, выпущенные Red Hat для соответствующих версий продуктов. Исправления, устраняющие состояние гонки в autofs-респондере, следует отслеживать через официальные каналы безопасности Red Hat (RHSA) и применять в приоритетном порядке. Если немедленное обновление невозможно, целесообразно рассмотреть следующие меры снижения риска: - ограничить круг локальных пользователей, имеющих доступ к системам, где запущен SSSD с autofs-респондером; - усилить мониторинг потребления памяти процессами SSSD и настроить оповещения о аномальном росте; - по возможности временно ограничить или отключить использование autofs-респондера там, где он не является критически необходимым. Важно отметить, что уязвимость требует локального доступа и повторяющихся конкурентных запросов, поэтому своевременное обновление и контроль привилегий существенно снижают практический риск. Итог: CVE-2026-104045 — умеренно опасная уязвимость в SSSD, способная привести к отказу в обслуживании autofs-службы из-за утечки памяти. Организациям, использующим затронутые версии Red Hat Enterprise Linux и OpenShift Container Platform, рекомендуется как можно скорее применить патчи и держать под контролем потребление памяти службой SSSD.Источник: CVE Project (cvelistV5)