Vulnerabilidad en Apache::Session::Generate::ModUniqueId de CHORNY (CVE-2026-5081)

Las versiones de Apache::Session::Generate::ModUniqueId desde la 1.54 hasta la 1.94 para los IDs de sesión de Perl son inseguras.<br /> <br /> Apache::Session::Generate::ModUniqueId (añadido en la versión 1.54) utiliza el valor de la variable de entorno UNIQUE_ID para el ID de sesión. La variable UNIQUE_ID es establecida por el plugin Apache mod_unique_id, que genera IDs únicos para la solicitud. El ID se basa en la dirección IPv4, el ID de proceso, el tiempo de época, un contador de 16 bits y un índice de hilo, sin ofuscación.<br /> <br /> La IP del servidor a menudo está disponible para el público, y si no está disponible, puede adivinarse a partir de IDs de sesión anteriores emitidos. Los IDs de proceso también pueden adivinarse a partir de IDs de sesión anteriores. La marca de tiempo es fácilmente adivinable (y se filtra en el encabezado de respuesta HTTP Date).<br /> <br /> El propósito de mod_unique_id es asignar un ID único a las solicitudes para que los eventos puedan correlacionarse en diferentes registros. El ID no está diseñado, ni es adecuado para fines de seguridad.