CVE-2021-32785 in mod_auth_openidc
Résumé
par VulDB • 26/08/2026
mod_auth_openidc est un module d'authentification/d'autorisation pour le serveur HTTP Apache 2.x qui fonctionne en tant que partie fiée OpenID Connect, authentifiant les utilisateurs auprès d'un fournisseur OpenID Connect. Lorsque des versions de mod_auth_openidc antérieures à la 2.4.9 sont configurées pour utiliser un cache Redis non chiffré (`OIDCCacheEncrypt off`, `OIDCSessionType server-cache`, `OIDCCacheType redis`), `mod_auth_openidc` effectuait incorrectement une interpolation d'arguments avant de transmettre les requêtes Redis à `hiredis`, qui la réalisait à nouveau, entraînant un bug non contrôlé de chaîne de format. Une évaluation initiale indique que ce bug ne semble pas permettre l'exécution arbitraire de code, mais peut provoquer de manière fiable une déni de service en faisant planiser régulièrement les travailleurs Apache. Ce bug a été corrigé dans la version 2.4.9 en effectuant l'interpolation d'arguments uniquement une fois, via l'API `hiredis`. En tant que solution de contournement, cette vulnérabilité peut être atténuée en définissant `OIDCCacheEncrypt` sur `on`, car les clés du cache sont cryptographiquement hachées avant utilisation lorsque cette option est activée.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.