SSSD: уязвимость отказа в обслуживании через повторное использование устаревшего состояния соединения в PAM GSSAPI-респондере (CVE-2026-104039)

В SSSD (System Security Services Daemon) выявлена уязвимость, связанная с некорректным управлением памятью при обработке аутентификации через Generic Security Services Application Programming Interface (GSSAPI) в Pluggable Authentication Module (PAM) респондере. Уязвимости присвоен идентификатор CVE-2026-104039, базовая оценка по CVSS — 4.7 (MEDIUM).

Подробности

Проблема заключается в том, что при завершении обработки GSSAPI-аутентификации в PAM-респондере SSSD освобождает кэшированное состояние соединения, но не очищает указатель на него. В результате в системе остаётся «висячий» указатель (stale reference) на уже освобождённую область памяти. Локальный пользователь, имеющий возможность отправлять запросы к PAM-респондеру, может воспользоваться этим: отправив дополнительный запрос по тому же соединению, он заставляет службу обратиться к недействительной области памяти. Это приводит к неожиданному завершению процесса (крашу) и, как следствие, к отказу в обслуживании (denial of service) — нарушению работы системных служб аутентификации. Уязвимость затрагивает следующие продукты:

• Red Hat Enterprise Linux 6, 7, 8, 9, 10;
• Red Hat OpenShift Container Platform 4.

Стоит отметить, что эксплуатация требует локального доступа, что несколько снижает общий уровень риска, однако в многопользовательских системах и средах с ненадёжными локальными пользователями последствия могут быть ощутимыми: нарушение аутентификации способно заблокировать вход в систему и работу прикладных сервисов, зависящих от PAM.

Что делать

Основная рекомендация — установить обновления SSSD, выпущенные вендором (Red Hat) для соответствующих версий продуктов. Следите за официальными бюллетенями безопасности Red Hat и применяйте патчи в приоритетном порядке, особенно на системах, где локальный доступ имеют недоверенные пользователи. Если обновление невозможно в краткосрочной перспективе, рассмотрите следующие меры снижения риска:

• ограничить число локальных пользователей и их права на взаимодействие со службами аутентификации;
• усилить мониторинг аварийных завершений процессов sssd и аномальных перезапусков службы;
• при наличии такой возможности изолировать критичные узлы, минимизируя локальный многопользовательский доступ.

Итог

CVE-2026-104039 — умеренно опасная уязвимость в SSSD, приводящая к отказу в обслуживании через обращение к освобождённой памяти после завершения GSSAPI-аутентификации в PAM-респондере. Наиболее эффективная защита — своевременное обновление SSSD и оперативное применение патчей Red Hat. Организациям, использующим затронутые версии RHEL и OpenShift Container Platform 4, рекомендуется не откладывать установку исправлений.

Источник: CVE Project (cvelistV5)