CVE-2026-22903: Estouro de buffer na pilha no lighttpd (modificado) via cookie SESSIONID
A CVE-2026-22903 descreve um estouro de buffer baseado em pilha em uma versão modificada do servidor web lighttpd, acionado por um cookie SESSIONID excessivamente longo em uma requisição HTTP enviada sem autenticação. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9,8, e o registro não indica inclusão no catálogo KEV. O registro também não lista versões afetadas nem correções.
Visão geral
A CVE-2026-22903 é um estouro de buffer baseado em pilha (CWE-121) em uma versão modificada do servidor web lighttpd. Segundo o registro, um atacante remoto não autenticado pode acioná-lo com uma requisição HTTP que contenha um cookie SESSIONID excessivamente longo. A principal referência do fornecedor é o aviso da CERT VDE VDE-2026-004.
Impacto
- Negação de serviço: o registro indica que o servidor pode travar.
- Possível execução remota de código: o registro indica que isso pode ser possibilitado pela ausência de proteções de pilha.
- Confidencialidade, integridade e disponibilidade: o vetor CVSS 3.1 classifica os três como altos (C:H/I:H/A:H).
Produtos e versões afetadas
- O registro não lista versões de produtos afetadas, nomes de fornecedor ou identificadores de produto.
- A descrição menciona apenas um servidor lighttpd modificado. O registro não informa se o projeto lighttpd original é afetado.
Status de exploração
- A entrada no catálogo KEV da CISA está indicada como não listada no registro.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Verifique se alguma instância implantada do lighttpd corresponde à versão modificada descrita no aviso.
- Consulte o aviso VDE-2026-004 para orientações da CNA. O registro não contém versão corrigida.
- Enquanto uma correção do fornecedor não for confirmada, considere limitar a exposição do serviço afetado e posicioná-lo atrás de controles que restrinjam cabeçalhos de requisição excessivamente grandes, como um proxy reverso com limite de tamanho de cabeçalhos. Trata-se de medida defensiva geral, não de correção verificada.
- Ative proteções de memória em nível de plataforma onde houver suporte, já que o aviso aponta a ausência delas como fator relevante.
Orientações de detecção
- Monitore os logs do servidor web e a saúde do serviço para identificar travamentos ou reinicializações inesperadas do lighttpd.
- Revise requisições recebidas com cabeçalhos de cookie incomumente grandes, em especial valores SESSIONID, na borda da rede ou nos logs.
- Gere alertas para comportamento anormal de processos ou reinicializações repetidas que coincidam com picos de tráfego web.
Limitações das informações disponíveis
- O registro não possui intervalos de versões afetadas, versões corrigidas nem campos de produto e fornecedor.
- O status da fonte no registro é Deferred, portanto os dados podem mudar.
- Não há análise técnica independente incluída, e esta análise não descreve detalhes de exploração.
- A pontuação CVSS 3.1 de 9,8 vem da CNA, e o registro não contém pontuação separada do NVD.
Perguntas frequentes
O que é a CVE-2026-22903?
É um estouro de buffer baseado em pilha em uma versão modificada do servidor web lighttpd, acionado por um cookie SESSIONID excessivamente longo em uma requisição HTTP. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9,8.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.