mod_auth_mellonに脆弱性が見つかりました。Apacheがリバースプロキシとして設定されており、mod_auth_mellonが認証されたユーザーのみを通過させるように設定されている場合（require valid-userディレクティブを使用）、特別なSAML ECP（非ブラウザーベース）の起動に通常使用される特別なHTTPヘッダーが追加されて、認証がバイパスされる可能性があります。（CVE-2019-3878）mod_auth_mellonに脆弱性が見つかり、ログアウトURLのオープンリダイレクトによって、バックスラッシュを含むリクエストが、相対URLであると仮定されて通過する可能性がありますが、ブラウザーはバックスラッシュ文字を絶対URLとして処理するフォワードスラッシュに警告なしに変換します。この不一致により、攻撃者がapr_uri_parse関数のリダイレクトURL検証ロジックをバイパスする可能性があります。（CVE-2019-3877）

検出

Amazon Linux AMI：mod24_auth_mellon（ALAS-2019-1200）

high Nessus プラグイン ID 124653

変更ログが見つかりません