Уязвимость модуля mod_session_crypto веб-сервера Apache HTTP Server, позволяющая нарушителю осуществить атаки типа Padding Oracle

Уязвимость модуля mod_session_crypto веб-сервера Apache HTTP Server связана с ошибками алгоритма шифрования. Модуль mod_session_crypto шифрует свои данные/ cookie с использованием сконфигурированных шифров с режимами работы CBC или ECB (AES256-CBC по умолчанию). Следовательно не существует выбираемого или встроенного аутентифицированного шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить атаки типа Padding Oracle (атаки, связанные с дополнениями, особенно с CBC)

CVE: CVE-2016-0736, GLSA-201701-36, Security Tracker ID:1037508, BID ID:95078
CVSS v2.0: 5