CVE-2026-114457 Lecturas fuera de límites en mod_qos por falta de terminación nula al escapar valores JSON

Qué es CVE-2026-114457

Con el filtrado de cuerpos JSON habilitado, mod_qos no termina correctamente las cadenas al procesar entrada codificada en porcentaje y lee más allá de los límites de memoria asignada. Un atacante remoto no autenticado puede enviar una solicitud JSON manipulada que hace caer un proceso worker de Apache y provoca una denegación de servicio.

Productos y versiones afectadas

• pbuchbinder mod_qos

  • 11.74
  • 11.76
  • 11.79

Qué hacer

1. Verificá si usás mod_qos y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.7 BAJA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

A flaw was found in mod_qos. An unauthenticated remote attacker could cause a Denial of Service (DoS) by sending a specially crafted JSON request when JSON body filtering is enabled. Due to improper string termination during the processing of percent-encoded input, the module reads past allocated memory boundaries, which can cause an Apache worker process to crash.

Referencias

• access.redhat.com/security/cve/CVE-2026-114457VDB-ENTRY · X_REFSOURCE_REDHAT
• bugzilla.redhat.com/show_bug.cgi?id=2558311ISSUE-TRACKING · X_REFSOURCE_REDHAT

Historial de la alerta

1. 22 OCT · 06:40VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.