CVE-2024-24814
Təsvir
mod_auth_openidc, Apache 2.x HTTP serveri üçün OpenID Certified™ autentifikasiya və avtorizasiya moduludur və OpenID Connect Relying Party funksionallığını həyata keçirir. Təsirə məruz qalmış versiyalarda mod_auth_openidc_session_chunks cookie dəyərinin giriş validasiyasının olmaması serveri xidmətdən imtina (DoS) hücumuna qarşı həssas edir. Daxili təhlükəsizlik auditi aparılmış və rəyçilər müəyyən ediblər ki, əgər onlar mod_auth_openidc_session_chunks cookie dəyərini 99999999 kimi çox böyük tam ədədə dəyişsələr, server uzun müddət sorğu ilə məşğul olur və nəhayət 500 xətası ilə cavab verir. Bu cür bir neçə sorğu göndərmək serverimizin cavab verməz hala gəlməsinə səbəb olub. Hücumçular serveri çox ağır işləməyə (və mümkündür ki, cavab verməz hala) məcbur edən və/və ya minimal səylə crash edən sorğular hazırlaya bilərlər. Bu problem 2.4.15.2 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum iş ətrafı həlləri yoxdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openidc mod_auth_openidc | 2.0.0 ≤ v ≤ 2.4.15.1 | — |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 39 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.