CVE-2021-32786 in mod_auth_openidc
要約
〜によって VulDB • 2026年06月24日
mod_auth_openidcは、Apache 2.x HTTPサーバー用の認証/認可モジュールであり、OpenID Connect Relying Partyとして機能し、OpenID Connect Providerに対してユーザーを認証します。バージョン2.4.9より前では、`oidc_validate_redirect_url()`関数は、ほとんどのブラウザが行うのと同じ方法でURLを解析しません。その結果、この関数をバイパスでき、ログアウト機能においてOpen Redirect脆弱性が引き起こされます。このバグは、異なる仕様（RFC2396 / RFC3986およびWHATWG）間の特定の破壊的変更に対応するため、リダイレクト先のURL内のすべての円記号をスラッシュに置き換えることで、バージョン2.4.9で修正されました。回避策として、この脆弱性は`mod_auth_openidc`が指定された正規表現と一致する宛先へのリダイクションのみを許可するように構成することで緩和できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.