CVE-2025-3891
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
W module mod_auth_openidc dla Apache httpd wykryto usterkę, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie pustego żądania POST, gdy dyrektywa OIDCPreservePost jest włączona. Serwer ulega awarii, co wpływa na dostępność usługi.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może łatwo przerwać działanie serwera HTTP, powodując niedostępność aplikacji internetowych dla użytkowników, co może prowadzić do strat finansowych i utraty reputacji.
Rekomendacja
Zaleca się natychmiastową aktualizację mod_auth_openidc do najnowszej wersji zawierającej poprawkę oraz tymczasowe wyłączenie dyrektywy OIDCPreservePost, jeśli nie jest niezbędna.
Inne podatności w mod_auth_openidc
Zobacz wszystkie- CVE-2017-6059Wysokie
Mod_auth_openidc w module uwierzytelniania OpenID Connect dla Apache przed wersją 2.14 pozwala zdalnym atakującym na fałszowanie treści stron poprzez złośliwy URL dostarczony użytkownikowi, co prowadzi do wywołania nieprawidłowego żądania.
- CVE-2017-6413Wysokie
Moduł 'OpenID Connect Relying Party i OAuth 2.0 Resource Server' (mod_auth_openidc) przed wersją 2.1.6 dla serwera Apache HTTP nie pomija nagłówków OIDC_CLAIM_ i OIDCAuthNHeader w konfiguracji 'AuthType oauth20', co pozwala zdalnym atakującym na obejście uwierzytelnienia za pomocą spreparowanego ruchu HTTP.
- CVE-2017-6062Wysokie
Moduł 'OpenID Connect Relying Party i OAuth 2.0 Resource Server' (mod_auth_openidc) przed wersją 2.1.5 dla serwera Apache HTTP nie pomija nagłówków OIDC_CLAIM_ i OIDCAuthNHeader w konfiguracji 'OIDCUnAuthAction pass', co pozwala zdalnym atakującym na obejście uwierzytelnienia za pomocą spreparowanego ruchu HTTP.
- CVE-2026-54789Wysokie
mod_auth_openidc przed wersją 2.4.19.4 zawiera podatność odczytu poza zakresem i zapisu jednego bajtu poza zakresem w parserze ciasteczek stanu. Problem został naprawiony w wersji 2.4.19.4.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the mod_auth_openidc module for Apache httpd. This flaw allows a remote, unauthenticated attacker to trigger a denial of service by sending an empty POST request when the OIDCPreservePost directive is enabled. The server crashes consistently, affecting availability.