Falha no Apache Directory LDAP API pode consumir CPU indefinidamente
Advisório publicado na lista oss-sec em 2 de outubro de 2026 alerta que números de telefone malformados podem manter um núcleo da CPU ocupado indefinidamente em versões do Apache Directory LDAP API anteriores à 2.1.9.
Fonte: CVE-2026-103885: Apache Directory LDAP API permite negação de serviço por números de telefone manipulados (seclists.org). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
O advisório publicado na lista oss-sec em 2 de outubro de 2026 classifica como importante uma vulnerabilidade de consumo assimétrico de recursos no Apache Directory LDAP API. As versões afetadas vão da 2.1.0 até as anteriores à 2.1.9. Ao processar certos números de telefone malformados, um servidor LDAP que use a API pode manter um núcleo da CPU em 100% indefinidamente. A recomendação é atualizar para a versão 2.1.9.
Empresas que usam a API devem identificar as versões implantadas e os serviços LDAP que as incorporam, priorizar a atualização e acompanhar o consumo de CPU e erros de processamento. Também podem revisar a validação de entradas e estabelecer alertas para picos persistentes, com procedimentos de resposta para reduzir o risco de indisponibilidade.
Como a consultoria pode ajudar
A Wendelmaques pode diagnosticar onde a API e as versões afetadas são usadas, definir o escopo e implementar a atualização, a validação de entradas e o monitoramento de CPU e erros, além de apoiar a operação da solução.
Próximo passo
Envie uma breve descrição dos seus serviços LDAP e do ambiente em que a API é usada para receber uma proposta com escopo definido.
Vamos avaliar seu projeto
Respondo com escopo e proposta.