PT-2021-4478 · Hiredis+4 · Hiredis+4
Publicado
2021-07-22
·
Atualizado
2025-12-29
·
CVE-2021-32785
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do mod auth openidc anteriores à 2.4.9
Descrição
O problema está relacionado ao uso de strings de formato não controladas no mod auth openidc quando configurado para usar um cache Redis não criptografado. Isso pode levar a uma negação de serviço ao travar repetidamente os workers do Apache. O bug é causado pelo mod auth openidc realizar interpolação de argumentos antes de passar as solicitações do Redis para o
hiredis, que a realiza novamente. O impacto estimado e os incidentes reais não foram especificados.Recomendações
Para versões do mod auth openidc anteriores à 2.4.9, atualize para a versão 2.4.9 para resolver o problema.
Como solução alternativa temporária, considere definir
OIDCCacheEncrypt como on para mitigar a vulnerabilidade, pois as chaves de cache são submetidas a hash criptográfico antes do uso quando essa opção está ativada.Correção
DoS
Use of Externally-Controlled Format String
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache
Redis
Suse
Hiredis
Mod Auth Openidc