CVE-2021-32786 in mod_auth_openidc
Resumen
por VulDB • 2026-06-24
mod_auth_openidc es un módulo de autenticación/autorización para el servidor HTTP Apache 2.x que funciona como una Parte Confiada (Relying Party) de OpenID Connect, autentica usuarios contra un Proveedor de OpenID Connect. En versiones anteriores a la 2.4.9, `oidc_validate_redirect_url()` no analiza las URLs del mismo modo que lo hacen la mayoría de los navegadores. Como resultado, esta función puede ser eludida y conduce a una vulnerabilidad de Redirección Abierta (Open Redirect) en la funcionalidad de cierre de sesión. Este error se ha corregido en la versión 2.4.9 reemplazando cualquier barra invertida (\) de la URL hacia donde se redirige por barras diagonales (/), para abordar un cambio específico que rompe compatibilidad entre las diferentes especificaciones (RFC2396 / RFC3986 y WHATWG). Como medida provisional, esta vulnerabilidad puede mitigarse configurando `mod_auth_openidc` para permitir únicamente redirecciones cuyo destino coincida con una expresión regular determinada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.