CVE-2026-54789 in mod_auth_openidc
Riassunto
di VulDB • 22/08/2026
mod_auth_openidc è un modulo di autenticazione e autorizzazione certificato OpenID per il server HTTP Apache 2.x che implementa la funzionalità di Relying Party di OpenID Connect. Prima della versione 2.4.19.4, sono presenti una lettura fuori dai limiti (out-of-bounds read) e una scrittura fuori dai limiti di un byte (one-byte out-of-bounds write) nel parser dei cookie di stato (`state-cookie`) di `mod_auth_openidc`. Il problema è risolto nella versione 2.4.19.4 interrompendo la scansione al terminatore della stringa, in modo da rifiutare i token privi di valore (value-less). Non sono disponibili workaround all'interno del prodotto. Come soluzione temporanea (stop-gap), un reverse proxy upstream o una Web Application Firewall (WAF) che rifiuti o normalizzi le intestazioni `Cookie` non conformi (token privi di `=`) può ridurre l'esposizione, ma si consiglia comunque l'aggiornamento come remediation raccomandata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.