Red Hat IPA CVE-2026-73197 Unauthenticated Remote DoS via /ipa/migration with PoC

漏洞概述 漏洞编号: Bug 2474697 (CVE-2026-73197) 漏洞类型: 未认证的拒绝服务（DoS）漏洞 漏洞描述: 在 中，通过未受限制的请求体读取，未认证的 DoS 漏洞允许攻击者通过发送大型 POST 请求来耗尽服务器内存，导致服务降级。 组件: 模块 版本影响: 影响范围 操作系统: Linux 优先级: 高 严重性: 高 目标里程碑: 未指定 分配给: 产品安全团队 QA 联系人: 未指定 文档联系人: 未指定 URL: 未指定 白名单: 未指定 依赖项: 2530171 阻塞项: 未指定 查看/编辑: 未指定 修复方案 补丁可用性: 未发布修复包；已建立补丁 版本修复: 未知 上游协调: 未通知 CVSS: 3.3/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H (MEDIUM) ACL: 利用需要发送一个过大的 POST 请求；无需特殊预条件即可建立 PR: 端点通过暴露的迁移端点可达 UI: 无需用户交互 S: 影响仅限于易受攻击服务的安全范围 C: 未建立机密性影响 I: 未建立完整性影响 A: 已建立内存压力和服务降级影响 影响: 重要。Red Hat 指导分类为允许远程用户导致服务不可用的漏洞，因为此代码是远程、未认证的可用性漏洞，针对 web 迁移端点。在迁移配置中未建立代码执行或机密性/完整性影响，尽管外部反向代理或 HTTP 服务器加固可能减少可利用性。 缓解: 如果不需要迁移端点，禁用或取消发布 。否则，在 HTTP 前端强制执行保守的请求体大小限制，在它们到达 WSGI 脚本之前拒绝过大的 POST 请求。 POC 代码 其他信息 报告者: OSIDB Bzimport 报告时间: 2026-05-11 21:56:53 UTC 修改时间: 2026-08-20 10:16:16 UTC CC 列表: 6 users (show) 固定版本: 未指定 克隆: 未指定 环境: 未指定 最后关闭: 未指定 嵌入: 未指定 附件 OSIDB Bzimport: 2026-05-11 21:56:53 UTC 评论 Christopher Lusk: 2026-06-26 17:05:49 UTC - Tracker filed for rhel-10.3: https://issues.redhat.com/browse/RHEL-189996 备注 需要登录才能在此处评论或进行更改。 --- 隐私

目標達成 すべての支援者に感謝 — 100%達成しました！

Red Hat IPA CVE-2026-73197 Unauthenticated Remote DoS via /ipa/migration with PoC

目標達成すべての支援者に感謝 — 100%達成しました！