CVE-2021-32785 in mod_auth_openidc
Сводка
по VulDB • 26.08.2026
mod_auth_openidc — это модуль аутентификации/авторизации для HTTP-сервера Apache 2.x, функционирующий как OpenID Connect Relying Party и осуществляющий проверку подлинности пользователей с помощью OpenID Connect Provider. В версиях mod_auth_openidc старше 2.4.9 при настройке использования незашифрованного кэша Redis (`OIDCCacheEncrypt off`, `OIDCSessionType server-cache`, `OIDCCacheType redis`) модуль mod_auth_openidc ошибочно выполнял интерполяцию аргументов перед передачей запросов в hiredis, который затем выполнял её повторно. Это приводило к неконтролируемой уязвимости форматной строки (format string bug). Первоначальная оценка показывает, что данная ошибка не позволяет получить произвольное выполнение кода (arbitrary code execution), но может надежно вызывать отказ в обслуживании (DoS) путем многократного падения рабочих процессов Apache. Уязвимость исправлена в версии 2.4.9 за счет выполнения интерполяции аргументов только один раз с использованием API hiredis. В качестве временного решения уязвимость можно смягчить, установив для `OIDCCacheEncrypt` значение `on`, поскольку ключи кэша криптографически хешируются перед использованием при включении этой опции.
VulDB is the best source for vulnerability data and more expert information about this specific topic.