PT-2021-22446
CVE-2021-39191
·
Publicado
2021-09-03
·
Atualizado
2025-12-29
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do mod auth openidc anteriores à 2.4.9.4
Descrição
O módulo mod auth openidc para o servidor HTTP Apache 2.x está vulnerável a um ataque de redirecionamento aberto. Isso ocorre quando uma URL maliciosa é fornecida no parâmetro
target link uri, afetando a funcionalidade de SSO (Single Sign-On) de terceiros. Um patch na versão 2.4.9.4 aplica a configuração OIDCRedirectURLsAllowed ao parâmetro target link uri, mitigando o problema.Recomendações
Para versões do mod auth openidc anteriores à 2.4.9.4, atualize para uma versão corrigida, especificamente a versão 2.4.9.4 ou posterior, para resolver o problema. Como solução alternativa temporária, considere restringir o uso do parâmetro
target link uri até que um patch seja aplicado. Além disso, certifique-se de que a configuração OIDCRedirectURLsAllowed esteja definida corretamente para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾