CVE-2021-39275

Apache HTTP Server — buffer overflow w funkcji ap_escape_quotes()

CVSS 9.8v3.1pub. 2021-09-16upd. 2025-05-01

Funkcja ap_escape_quotes() w Apache HTTP Server może zapisywać dane poza granicami bufora przy przetwarzaniu złośliwych danych wejściowych (CWE-787: out-of-bounds write). Podatność ma krytyczny poziom zagrożenia i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

ap_escape_quotes() may write beyond the end of a buffer when given malicious input. No included modules pass untrusted data to these functions, but third-party / external modules may. This issue affects Apache HTTP Server 2.4.48 and earlier.

🤖 Analiza AI

Jak działa

Funkcja ap_escape_quotes() nie weryfikuje poprawnie rozmiaru bufora wyjściowego podczas przetwarzania danych wejściowych zawierających znaki wymagające eskejpowania. W wyniku tego możliwy jest zapis poza granicę przydzielonego bufora (out-of-bounds write). Choć żaden z wbudowanych modułów Apache nie przekazuje niezaufanych danych do tej funkcji, mogą to robić moduły zewnętrzne lub firm trzecich, co otwiera wektor ataku w środowiskach korzystających z takich rozszerzeń.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu (RCE), przejęcia kontroli nad serwerem lub jego awarii. Ze względu na wektor sieciowy i brak wymaganych uprawnień, skuteczne wykorzystanie podatności może skutkować pełnym naruszeniem poufności, integralności i dostępności serwera.

Mitygacja

Należy zaktualizować Apache HTTP Server do wersji wyższej niż 2.4.48, zgodnie z zaleceniami opublikowanymi pod adresem https://httpd.apache.org/security/vulnerabilities_24.html. Zaleca się również audyt wszystkich zainstalowanych modułów zewnętrznych pod kątem przekazywania niezaufanych danych do funkcji ap_escape_quotes().

Kogo dotyczy

Apache HTTP Server w wersji 2.4.48 i wcześniejszych. Podatność dotyczy również systemów Fedora oraz Debian Linux zawierających podatne wersje pakietu Apache HTTP Server.