CVE-2021-26691CWE-122

CVE-2021-26691: fallo en Apache HTTP Server

Apache HTTP Server mod_session response handling heap overflow

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache HTTP Server+ Monitorear apache2

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

15Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 68%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
3 productos (12 componentes)
Red Hat Software Collections · Red Hat JBoss Enterprise Application Platform 6 · Red Hat JBoss Enterprise Web Server 2
workaround: Only configurations which use the "SessionEnv" directive (which is not widely used) are vulnerable to this flaw. SessionEnv is not enabled in default configuration of httpd package shipped with Red Hat Products.
Corregido
10 productos (297 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat JBoss Core Services on RHEL 8 · Red Hat JBoss Core Services on RHEL 7 Server · Red Hat Enterprise Linux Server (v. 7) · Red Hat Enterprise Linux Server Optional (v. 7) · y otros 5
corrección ↗
No afectado
2 productos (18 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 9 · Red Hat Enterprise Linux 6
En resumen

Apache HTTP Server versiones 2.4.0 a 2.4.46 es vulnerable a un desbordamiento de heap al procesar encabezados de sesión especialmente diseñados desde un servidor. Un atacante podría bloquear el servidor o ejecutar código arbitrario enviando un encabezado de sesión malicioso.

Detalle técnico

Existe un desbordamiento de búfer en heap en el manejo de encabezados de respuesta de mod_session (CWE-122) afectando Apache 2.4.0–2.4.46. La vulnerabilidad se activa cuando un servidor de origen envía un SessionHeader manipulado que excede los límites esperados del búfer, permitiendo ejecución remota de código o denegación de servicio sin autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.
In Apache HTTP Server versions 2.4.0 to 2.4.46 a specially crafted SessionHeader sent by an origin server could cause a heap overflow
Productos afectados
Apache Software Foundation · Apache HTTP Server
CVEs relacionadas — Apache HTTP Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-40438CRITICALmod_proxy SSRFEPSS 100.0%KEVCVE-2021-41773HIGHPath traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49EPSS 100.0%KEVCVE-2021-42013CRITICALPath Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773)EPSS 100.0%KEVCVE-2024-38475CRITICALApache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path.EPSS 100.0%KEVCVE-2021-44790—Possible buffer overflow when parsing multipart content in mod_lua of Apache HTTP Server 2.4.51 and earlierEPSS 96.8%CVE-2017-9798—CVE-2017-9798EPSS 94.7%