漏洞概述 漏洞编号：CVE-2026-11790 漏洞描述：389 Directory Server 中的 PBKDF2-SHA256 密码存储插件在提取存储的密码哈希中的迭代计数时没有上限检查。攻击者可以使用 Directory Manager 权限植入一个带有极端迭代计数（例如 0x7FFFFFFF）的 PBKDF2-SHA256 哈希。任何后续的 LDAP BIND 操作都会触发无限的 CPU 消耗，导致工作线程挂起数小时，从而实现持久性的拒绝服务。 状态：NEW 优先级：medium 严重程度：medium 影响范围 受影响组件：389 Directory Server 中的 PBKDF2-SHA256 密码存储插件 受影响版本：389-ds-base 1.3.6 及更早版本 操作系统：Linux 硬件：All 修复方案 修复版本：389-ds-base 1.3.6 (commit 54228c7v, Ticket 397) 修复内容：添加了哈希长度检查，但未添加迭代计数上限检查。 确认：PoC 已在 Fedora 42 生产二进制文件中确认。 附加信息 报告日期：2026-06-05 12:24:58 UTC 修改日期：2026-06-09 13:00 UTC OC List：11 users 环境：未指定 最后关闭：未指定 Embargoed：未指定 附件 附件链接：Terms of Use 备注 备注：需要登录才能评论或对此漏洞进行更改。