CVE-2026-32327

APR-util: atak stack recursion przez apr_xml_quote_elem() przy parsowaniu XML

CVSS 9.1v3.1pub. 2026-08-06upd. 2026-08-07

Błąd w bibliotece APR-util w wersji 1.6.3 i wcześniejszych umożliwia przeprowadzenie ataku stack recursion poprzez przetwarzanie złośliwego XML przy użyciu funkcji apr_xml_quote_elem(). Podatność ma ocenę CVSS 9.1 i może prowadzić do ujawnienia danych lub niedostępności usługi.

▸ Pokaż oryginał (EN)

A bug in APR-util version 1.6.3 (and earlier) allows a stack recursion attack against any library consumer which parses XML from untrusted sources and uses the apr_xml_quote_elem() function. Users are recommended to upgrade to version 1.6.4, which fixes this issue.

🤖 Analiza AI

Jak działa

Atakujący dostarcza specjalnie spreparowany dokument XML z nieuntrusted źródła do aplikacji korzystającej z funkcji apr_xml_quote_elem() z biblioteki APR-util. Funkcja ta zawiera błąd powodujący niekontrolowaną rekurencję na stosie (stack recursion), co może wyczerpać dostępną przestrzeń stosu. Podatność dotyczy wszystkich bibliotek i aplikacji, które przetwarzają XML z niezaufanych źródeł i korzystają z omawianej funkcji APR-util.

Skutki

Atakujący zdalnie, bez uwierzytelnienia, może spowodować wyczerpanie stosu prowadzące do awarii aplikacji (odmowa dostępu do usługi) lub potencjalnego ujawnienia poufnych danych z pamięci procesu.

Mitygacja

Należy zaktualizować APR-util do wersji 1.6.4, która eliminuje opisaną podatność. Szczegółowe informacje dostępne są w referencjach producenta (lista dyskusyjna Apache oraz Openwall oss-security).

Kogo dotyczy

APR-util w wersji 1.6.3 i wcześniejszych — wszystkie biblioteki oraz aplikacje wykorzystujące APR-util do parsowania XML z niezaufanych źródeł za pomocą funkcji apr_xml_quote_elem()