Fedora 36: mod_auth_openidc (2022-6beaa3bd0c)

medium Nessus プラグイン ID 169297

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 36 ホストには、FEDORA-2022-6beaa3bd0c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- mod_auth_openidc は、Apache 2.x HTTP サーバー用の OpenID Certified 認証および承認モジュールです。2.4.12.2 より前のバージョンは、オープンリダイレクトに対して脆弱です。リダイレクト URI にログアウトパラメーターを提供するとき、oidc_validate_redirect_url() の既存のコードは、/\t で始まる URL を適切にチェックせず、オープンリダイレクトが発生します。この問題には、バージョン 2.4.12.2 でパッチが適用されています。アップグレードできないユーザーは、宛先が OIDCRedirectURLsAllowed で特定の正規表現と一致する場合にのみ、リダイレクトを許可するように mod_auth_openidc を構成することで、この問題を緩和できます。(CVE-2022-23527)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。