Maximilian Radoy

عندما يتم تكوين عدة خوادم لمشاركة نفس عنوان IP والمنفذ، يمكن للمهاجم استخدام استئناف الجلسة لتجاوز متطلبات المصادقة عبر شهادة العميل على هذه الخوادم. تحدث هذه المشكلة عند استخدام تذاكر جلسة TLS و/أو ذاكرة التخزين المؤقت لجلسة SSL على الخادم الافتراضي، وفي حالة قيام الخادم الافتراضي بإجراء المصادقة عبر شهادة العميل.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: خادم Apache HTTP من الإصدار 2.4.35 إلى 2.4.63 الوصف: في بعض إعدادات mod ssl، يمكن التحايل على ضوابط الوصول للعملاء الموثوق بهم باستخدام استئناف جلسة TLS 1.3. يحدث هذا عندما يكون mod ssl مُهيأً لعدد من المضيفات الافتراضية، كل منها مقيدة بمجموعة مختلفة من شهادات العملاء الموثوق بهم، ولا يكون `SSLStrictSNIVHostCheck` مُفعَّلاً في أي من المضيفات الافتراضية. التوصيات: إصدارات خادم Apache HTTP من 2.4.35 إلى 2.4.63: قم بتمكين `SSLStrictSNIVHostCheck` في جميع تكوينات المضيفات الافتراضية.

An insufficient entropy issue, caused by the improper use of randomness sources with low entropy for RSA key pair generation, affects the web administration interface. This could allow an unauthenticated attacker to retrieve a private key by factoring the RSA modulus N in the certificate.