Уязвимость модуля mod_session_crypto веб-сервера Apache HTTP Server связана с ошибками алгоритма шифрования. Модуль mod_session_crypto шифрует свои данные/ cookie с использованием сконфигурированных шифров с режимами работы CBC или ECB (AES256-CBC по умолчанию). Следовательно не существует выбираемого или встроенного аутентифицированного шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить атаки типа Padding Oracle (атаки, связанные с дополнениями, особенно с CBC)
Использование рекомендаций: http://www.securityfocus.com/bid/95078
http://www.securitytracker.com/id/1037508
https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbux03725en_us
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2016-0736
https://security.gentoo.org/glsa/201701-36
| Балл | 5 — средняя опасность |