CVE-2026-103877: Apache Directory LDAP API desserialização de dados não confiáveis
A CVE-2026-103877 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no Apache Directory LDAP API, que afeta as versões desde a 2.1.0 até antes da 2.1.9. Segundo a descrição do CNA, um servidor LDAP não autorizado ou comprometido, ou uma interceptação antes do TLS, poderia responder com um objeto de esquema contendo uma classe Java serializada durante loadSchema(), o que pode permitir execução remota de código. O CNA recomenda atualizar para a 2.1.9, e o registro informa pontuação CVSS 3.1 de 9.8, com severidade crítica.
Visão geral\n\nA CVE-2026-103877 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no Apache Directory LDAP API, que afeta as versões desde a 2.1.0 até antes da 2.1.9. Segundo a descrição do CNA, o problema está ligado a um cliente que chama loadSchema() e recebe uma resposta de pesquisa de subesquema contendo uma classe Java serializada. O registro foi publicado em 2026-10-02 pelo security@apache.org.\n\n## Impacto\n\nO CNA afirma que o problema pode permitir uma possível execução remota de código. O cenário descrito envolve um servidor LDAP não autorizado ou comprometido, ou uma posição de intermediário antes do estabelecimento do TLS. O registro traz pontuação CVSS 3.1 de 9.8 fornecida pelo CNA, classificada como crítica, com vetor que indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.\n\n## Produtos e versões afetados\n\n- Produto: Apache Directory LDAP API\n- Intervalo afetado indicado na descrição: da 2.1.0 até antes da 2.1.9\n- Versão corrigida indicada na descrição: 2.1.9\n- Os campos estruturados de afetados e correções do registro estão vazios, então o intervalo acima vem apenas do texto da descrição.\n\n## Status de exploração\n\nO registro não lista esta CVE no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00572, com percentil de 0.45813, datada de 2026-10-13.\n\n## Correção e mitigação\n\n- Atualize o Apache Directory LDAP API para a versão 2.1.9, que, segundo a descrição, corrige o problema.\n- Faça um inventário de aplicações e bibliotecas que incorporam a LDAP API, incluindo dependências transitivas, pois podem ser afetadas sem uso direto.\n- Se a atualização imediata não for possível, restrinja os servidores LDAP que os clientes podem contatar a endpoints confiáveis e garanta que as conexões com diretórios usem TLS corretamente.\n- Revise onde loadSchema() é usado no código e limite as conexões a diretórios sob seu controle.\n\n## Orientações para detecção\n\n- Identifique as versões implantadas da biblioteca nos inventários de software e sinalize as anteriores à 2.1.9 e posteriores à 2.1.0.\n- Monitore, em nível geral, conexões inesperadas a diretórios LDAP não aprovados.\n- Revise os logs das aplicações em busca de erros de desserialização ou carregamento inesperado de classes, reconhecendo que as informações disponíveis não definem indicadores de comprometimento específicos.\n\n## Limitações das informações disponíveis\n\n- O registro não possui dados estruturados de afetados, correções ou CPE, nem avisos de fornecedor além da thread da lista Apache e do post da oss-security.\n- O status do registro é Deferred, então os detalhes podem mudar.\n- As condições exatas de exploração e eventuais componentes de desserialização necessários são desconhecidos nas fontes consultadas.\n- A verificação independente da correção na 2.1.9 não é informada nas fontes consultadas.
Perguntas frequentes
Quais versões do Apache Directory LDAP API são afetadas pela CVE-2026-103877?
Segundo a descrição do registro, são afetadas as versões desde a 2.1.0 até antes da 2.1.9. O campo estruturado de afetados está vazio, então este intervalo vem apenas do texto.
Qual é a correção recomendada?
A descrição recomenda atualizar para a versão 2.1.9, que, segundo ela, corrige o problema.
Esta CVE é conhecida por ser explorada na natureza?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.