CVE-2021-32791
Açıklama
mod_auth_openidc, kullanıcıları bir OpenID Connect Sağlayıcısına karşı kimlik doğrulayan ve bir OpenID Connect Güvenen Tarafı olarak işlev gören, Apache 2.x HTTP sunucusu için bir kimlik doğrulama/yetkilendirme modülüdür. 2.4.9 sürümünden önceki mod_auth_openidc sürümlerinde, mod_auth_openidc içindeki AES GCM şifrelemesi statik bir IV ve AAD kullanmaktadır. Bu durum statik bir nonce oluşturduğu ve aes-gcm bir akış şifreleyici olduğu için aynı anahtarın yeniden kullanılmasına yol açarak bilinen kriptografik sorunlara neden olabileceğinden düzeltilmesi önemlidir. 2.4.9 sürümüyle birlikte bu durum, cjose AES şifreleme rutinlerinin kullanımıyla dinamik değerler kullanılacak şekilde yamalanmıştır.
Nasıl düzeltilir
- openidc mod_auth_openidc2.4.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openidc mod_auth_openidc | v < 2.4.9 | 2.4.9 |
| fedoraproject fedora | 33, 34 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.