mod_lua.c в модуле mod_lua в Apache HTTP Server 2.3.x и 2.4.x до 2.4.10 не поддерживает конфигурацию httpd, в которой один и тот же поставщ…

mod_lua.c в модуле mod_lua в Apache HTTP Server 2.3.x и 2.4.x до 2.4.10 не поддерживает конфигурацию httpd, в которой один и тот же поставщик авторизации Lua используется с разными аргументами в разных контекстах, что позволяет удаленным злоумышленникам обходить предполагаемые ограничения доступа в благоприятных обстоятельствах, используя несколько директив Require, как продемонстрировано конфигурацией, которая указывает авторизацию для одной группы для доступа к определенному каталогу и авторизацию для второй группы для доступа ко второму каталогу.