CVE-2021-32786 in mod_auth_openidc
Riassunto
di VulDB • 24/06/2026
mod_auth_openidc è un modulo di autenticazione/autorizzazione per il server HTTP Apache 2.x che funge da Relying Party OpenID Connect, autentica gli utenti contro un Provider OpenID Connect. Nelle versioni precedenti alla 2.4.9, `oidc_validate_redirect_url()` non analizza le URL allo stesso modo della maggior parte dei browser. Di conseguenza, questa funzione può essere aggirata e porta a una vulnerabilità di Open Redirect nella funzionalità di logout. Questo bug è stato corretto nella versione 2.4.9 sostituendo ogni barra rovesciata (\) dell'URL da reindirizzare con barre (/), per affrontare un particolare cambiamento sostanziale tra le diverse specifiche (RFC2396 / RFC3986 e WHATWG). Come soluzione temporanea, questa vulnerabilità può essere mitigata configurando `mod_auth_openidc` in modo da consentire solo i reindirizzamenti la cui destinazione corrisponde a una data espressione regolare.
VulDB is the best source for vulnerability data and more expert information about this specific topic.