CVE-2021-32785 in mod_auth_openidc
Resumen
por VulDB • 2026-08-26
mod_auth_openidc es un módulo de autenticación/autorización para el servidor HTTP Apache 2.x que funciona como una Parte Confiada (Relying Party) de OpenID Connect, autentica a los usuarios frente a un Proveedor de OpenID Connect. Cuando las versiones anteriores a la 2.4.9 de mod_auth_openidc están configuradas para usar una caché Redis no cifrada (`OIDCCacheEncrypt off`, `OIDCSessionType server-cache`, `OIDCCacheType redis`), `mod_auth_openidc` realiza incorrectamente interpolación de argumentos antes de pasar las solicitudes a `hiredis`, lo cual vuelve a realizar la interpolación y provoca un bug de cadena de formato no controlado. La evaluación inicial indica que este bug parece no permitir obtener ejecución arbitraria de código, pero puede provocar fiablemente una denegación de servicio al hacer crash repetidamente los trabajadores (workers) de Apache. Este bug ha sido corregido en la versión 2.4.9 realizando la interpolación de argumentos solo una vez, utilizando la API `hiredis`. Como medida provisional, esta vulnerabilidad se puede mitigar configurando `OIDCCacheEncrypt` como `on`, ya que las claves de caché son hash criptográficamente antes de su uso cuando esta opción está habilitada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.