389-ds-base の StartTLS で平文の LDAP 要求が残り、認証失敗が成功に見える（CVSS 9.0・修正版待ち）

Critical（CVSS 9.0）に分類されるRed Hat（389 Directory Server プロジェクト） 389-ds-base（Red Hat Directory Server 11/12/13、RHEL 8/9/10、Debian・Ubuntu・Amazon Linux 2 のパッケージ）の脆弱性です。LDAP サーバ 389-ds-base（Red Hat Directory Server の基盤）に、**StartTLS で TLS に切り替える際、その前にクライアント接続から読み込んで溜めてあった平文のバイトを捨てない**欠陥がある。経路上に割り込める攻撃者（on-path）が細工した LDAP メッセージを平文のうちに差し込むと、そのメッセージは TLS へ切り替わった後に処理され、messageID の衝突によってクライアントが待っている本来の操作の応答の代わりにその応答が返る。結果として、**クライアントアプリケーションが失敗したはずの認証（bind）を成功と扱う**ことがあり得る。 CVSS 3.1 は Red Hat（CNA）の評価で 9.0 Critical（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）。攻撃には経路上の立場が要るため AC:H だが、認証も操作も不要で、影響範囲が LDAP を信頼する側のアプリケーションへ及ぶ（S:C）。Red Hat 自身の深刻度は Moderate、Amazon Linux は Important（8.7）としており、評価は分かれている。NVD は 2026年10月2日公開、2026年10月4日時点で Awaiting Analysis（NVD 独自の採点は未付与）。CISA KEV には収載されておらず、悪用の報告は確認できていない。 **2026年10月4日時点で修正版は出ていない。** Red Hat は RHEL 8/9/10 と Red Hat Directory Server 11/12/13 の 389-ds-base を Affected（修正未提供）としており、Debian は bookworm / trixie / sid とも vulnerable のまま、Ubuntu は全リリースで Needs evaluation、Amazon Linux 2 は Pending Fix である。

**修正版が出るまでは StartTLS を止めて LDAPS を必須にする。** Red Hat が示す緩和策は、389/TCP の StartTLS を無効化し、代わりに ldaps://（636/TCP）を要求することで、LDAPS には注入の足場になる平文の前置きが無い。サーバ側で StartTLS を受け付けない設定にしたうえで、LDAP を参照するクライアント（SSSD、アプリケーションの LDAP 設定、他のディレクトリとのレプリケーション）を ldaps:// へ切り替える。この切り替えは **TLS 証明書がクライアント側で検証できていることが前提**で、検証を外したままでは on-path 攻撃者に対する守りにならない。 **影響を受けるかの確認**は、（1）389-ds-base / Red Hat Directory Server を動かしているか、（2）389/TCP で StartTLS を許可しているか、（3）そのサーバを信頼して認証判定しているアプリケーションがあるか、の3点で判断する。LDAP が閉域の管理ネットワークに限られていても、同じセグメントに入れる者は on-path になり得る。 **修正版が出たら更新する。** 各ディストリビューションのトラッカー（Red Hat CVE ページ、Debian security tracker、Ubuntu CVE ページ、Amazon Linux ALAS）を見て、パッケージが出た時点で適用する。このサイトも再点検で追記する。 **完了条件**は、（1）全ての 389-ds-base で StartTLS を無効化し LDAPS に統一している（または修正版を適用済み）、（2）クライアント側で証明書検証が有効、の2点である。

Red Hat（389 Directory Server プロジェクト） 389-ds-base（Red Hat Directory Server 11/12/13、RHEL 8/9/10、Debian・Ubuntu・Amazon Linux 2 のパッケージ） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-86345）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。