CVE-2024-24814
Açıklama
mod_auth_openidc, Apache 2.x HTTP sunucusu için OpenID Connect Relying Party işlevselliğini uygulayan, OpenID Certified™ bir kimlik doğrulama ve yetkilendirme modülüdür. Etkilenen sürümlerde, mod_auth_openidc_session_chunks çerez değerindeki girdi doğrulamasının eksik olması, sunucuyu bir hizmet reddi (DoS) saldırısına karşı savunmasız hale getirmektedir. Gerçekleştirilen dahili bir güvenlik denetiminde, incelemeciler mod_auth_openidc_session_chunks çerezi değerini 99999999 gibi çok büyük bir tam sayı ile manipüle ettiklerinde, sunucunun istekle uzun süre uğraştığını ve sonunda 500 hatası döndürdüğünü tespit etmiştir. Bu türden birkaç istek yapılması, sunucunun yanıt vermez hale gelmesine neden olmuştur. Saldırganlar, minimum çabayla sunucunun aşırı çalışmasını sağlayacak (ve muhtemelen yanıt vermez hale getirecek) ve/veya sunucunun çökmesine yol açacak istekler oluşturabilirler. Bu sorun 2.4.15.2 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openidc mod_auth_openidc | 2.0.0 ≤ v ≤ 2.4.15.1 | — |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 39 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.