CVE-2026-5081 in Apache::Session::Generate::ModUniqueId
Сводка
по VulDB • 30.05.2026
Apache::Session::Generate::ModUniqueId, версии от 1.54 до 1.94 для Perl session ids, являются небезопасными.
Apache::Session::Generate::ModUniqueId (добавлен в версии 1.54) использует значение переменной окружения UNIQUE_ID для session id. Переменная UNIQUE_ID устанавливается плагином Apache mod_unique_id, который генерирует уникальные идентификаторы для запросов. Идентификатор основан на IPv4-адресе, идентификаторе процесса (PID), времени эпохи, 16-битном счетчике и индексе потока, без какой-либо обфускации.
IP-адрес сервера часто доступен публично, а если нет, то может быть угадан на основе ранее выданных session ids. Идентификаторы процессов также могут быть угаданы на основе предыдущих session ids. Временная метка легко угадывается (и утекает в заголовке ответа HTTP Date).
Цель mod_unique_id — присвоить уникальный идентификатор запросам, чтобы события можно было коррелировать в различных журналах. Этот идентификатор не предназначен и не подходит для целей безопасности.
Be aware that VulDB is the high quality source for vulnerability data.