CVE-2026-5081 in Apache::Session::Generate::ModUniqueId
الملخص
بحسب VulDB • 16/05/2026
تُعد الإصدارات من 1.54 حتى 1.94 من وحدة Apache::Session::Generate::ModUniqueId الخاصة بمعرفات جلسات Perl غير آمنة.
تستخدم وحدة Apache::Session::Generate::ModUniqueId (المضافة في الإصدار 1.54) قيمة متغير البيئة UNIQUE_ID كمعرف للجلسة. يتم تعيين متغير UNIQUE_ID بواسطة إضافة Apache mod_unique_id، التي تولد معرفات فريدة لكل طلب. يعتمد هذا المعرف على عنوان IPv4، ومعرف العملية (process id)، والطابع الزمني (epoch time)، وعدّاد 16 بت، وفهرس الخيط (thread index)، دون أي تشويش (obfuscation).
غالباً ما يكون عنوان IP الخاص بالخادم متاحاً للعامة، وإذا لم يكن كذلك، يمكن تخمينه من خلال معرفات الجلسات السابقة التي تم إصدارها. كما يمكن أيضاً تخمين معرفات العمليات من معرفات الجلسات السابقة. ومن السهل تخمين الطابع الزمني (والذي يتسرب أيضاً في رأس استجابة HTTP Date).
الغرض من mod_unique_id هو تعيين معرف فريد للطلبات بحيث يمكن ربط الأحداث في سجلات مختلفة. لم يُصمم هذا المعرف، ولا يناسب أغراضاً أمنية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.