CVE-2021-26691CWE-122

CVE-2021-26691: falha em Apache HTTP Server

Apache HTTP Server mod_session response handling heap overflow

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache HTTP Server+ Monitorar apache2

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

15Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 68%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
3 produtos (12 componentes)
Red Hat Software Collections · Red Hat JBoss Enterprise Application Platform 6 · Red Hat JBoss Enterprise Web Server 2
workaround: Only configurations which use the "SessionEnv" directive (which is not widely used) are vulnerable to this flaw. SessionEnv is not enabled in default configuration of httpd package shipped with Red Hat Products.
Corrigido
10 produtos (297 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat JBoss Core Services on RHEL 8 · Red Hat JBoss Core Services on RHEL 7 Server · Red Hat Enterprise Linux Server (v. 7) · Red Hat Enterprise Linux Server Optional (v. 7) · e outros 5
correção ↗
Não afetado
2 produtos (18 componentes) — porque o código vulnerável não está presente no produto
Red Hat Enterprise Linux 9 · Red Hat Enterprise Linux 6
Em resumo

O Apache HTTP Server versões 2.4.0 a 2.4.46 tem uma falha que causa estouro de memória quando processa cabeçalhos de sessão malformados vindos de um servidor. Um atacante poderia derrubar o servidor ou executar código malicioso enviando um cabeçalho de sessão especialmente preparado.

Detalhe técnico

Existe um estouro de buffer na heap no tratamento de cabeçalhos de resposta do mod_session (CWE-122) afetando Apache 2.4.0–2.4.46. A vulnerabilidade é desencadeada quando um servidor de origem envia um SessionHeader malformado que ultrapassa os limites esperados do buffer, permitindo execução remota de código ou negação de serviço sem autenticação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In Apache HTTP Server versions 2.4.0 to 2.4.46 a specially crafted SessionHeader sent by an origin server could cause a heap overflow
Produtos afetados
Apache Software Foundation · Apache HTTP Server
CVEs relacionadas — Apache HTTP Server

No mesmo produto, das mais perigosas para as menos.

CVE-2021-40438CRITICALmod_proxy SSRFEPSS 100.0%KEVCVE-2021-41773HIGHPath traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49EPSS 100.0%KEVCVE-2021-42013CRITICALPath Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773)EPSS 100.0%KEVCVE-2024-38475CRITICALApache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path.EPSS 100.0%KEVCVE-2021-44790—Possible buffer overflow when parsing multipart content in mod_lua of Apache HTTP Server 2.4.51 and earlierEPSS 96.8%CVE-2017-9798—CVE-2017-9798EPSS 94.7%