Debian DLA-2298-1: libapache2-mod-auth-openidcセキュリティ更新プログラム

medium Nessus プラグイン ID 139098

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

Apache HTTPサーバーのOpenID Connect認証モジュールであるlibapache2-mod-auth-openidcに複数のセキュリティの脆弱性が見つかりました。

CVE-2019-14857

URLの検証が不十分のため、オープンリダイレクトの脆弱性があります。攻撃者が、リクエストを不正なWebサイトに転送することにより、被害者を誘導してOpenIDプロバイダーの資格情報を提供させる可能性があります。

CVE-2019-20479

URLの検証が不十分なため、スラッシュとバックスラッシュで始まるURLのオープンリダイレクト脆弱性が悪用される可能性がありました

CVE-2019-1010247

OIDCRedirectURIページには、文字列変数としてポーリングパラメーターを使用する生成されたJavaScriptコードが含まれています。これにより、追加のJavaScriptコードが含まれている可能性があります。これにより、クロスサイトスクリプティング（XSS）が発生する可能性があります。

Debian 9「Stretch」では、これらの問題はバージョン2.1.6-1+deb9u1で修正されています。

libapache2-mod-auth-openidcパッケージをアップグレードすることをお勧めします。

libapache2-mod-auth-openidcの詳細なセキュリティステータスについては、次を参照してください

セキュリティトラッカーのページ:
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。