Falha no Apache Directory LDAP API pode consumir CPU por horas
Advisório publicado em 2 de outubro de 2026 na lista oss-sec descreve negação de serviço por verificações bcrypt com fator de custo alto nas versões 2.1.0 a anteriores à 2.1.9.
Fonte: CVE-2026-103880: Apache Directory LDAP API permite negação de serviço por fator de custo excessivo do bcrypt (seclists.org). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
O advisório publicado em 2 de outubro de 2026 na lista oss-sec classifica como importante a CVE-2026-103880, uma falha de consumo assimétrico de recursos no Apache Directory LDAP API. Nas versões 2.1.0 até anteriores à 2.1.9, senhas armazenadas com bcrypt e fator de custo alto — como 30 — podem manter a CPU ocupada por horas durante a verificação de credenciais, causando negação de serviço.
Empresas que usam essas versões podem identificar instâncias e configurações afetadas, atualizar para a versão 2.1.9 ou posterior e impor limites ao fator de custo do bcrypt. Também podem monitorar uso de CPU e latência na autenticação, com alertas para detectar consumo anormal antes que o serviço fique indisponível.
Como a consultoria pode ajudar
A Wendelmaques pode diagnosticar a exposição em diretórios e aplicações, definir uma atualização e limites seguros para o custo do bcrypt e implementar monitoramento e alertas. O escopo inclui a implementação e a operação acordadas para o ambiente do cliente.
Próximo passo
Envie uma breve descrição do seu ambiente LDAP e receba uma proposta com escopo para avaliar e tratar essa exposição.
Vamos avaliar seu projeto
Respondo com escopo e proposta.