CVE-2026-88834 Oráculo de existencia de usuarios en httpd de BusyBox
Se encontró una falla en el servidor web httpd de BusyBox. Cuando se configura con autenticación por contraseña del sistema, puede existir un oráculo de existencia de usuarios en ciertas configuraciones de compilación. Un atacante podría distinguir nombres de usuario existentes de los inexistentes observando el comportamiento ante fallos de autenticación. El impacto se limita a la enumeración de nombres de usuario y requiere opciones de compilación no predeterminadas o estados poco comunes del archivo de…
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Red Hat Red Hat Hardened Images
Versiones no especificadas.
Qué hacer
- Verificá si usás Red Hat Hardened Images.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
A flaw was found in BusyBox's httpd web server. When configured with system password authentication, a user existence oracle may exist in certain build configurations. An attacker could distinguish existing from non-existing usernames by observing authentication failure behavior. Impact is limited to username enumeration and requires non-default compile options or uncommon password file states; default BusyBox builds with shadow password support are not affected.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.