リモートの Debian 10 ホストには、dla-3751 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - mod_auth_openidc は、OpenID Connect Relying Party 機能を実装した Apache 2.x HTTP サーバー用の OpenID Certified 認証および承認モジュールです。影響を受けるバージョンでは、mod_auth_openidc_session_chunks クッキー値の入力検証がないため、サーバーがサービス拒否 (DoS) 攻撃に対して脆弱です。内部セキュリティ監査が実施され、レビュアーが、mod_auth_openidc_session_chunks クッキーの値を 99999999 のような非常に大きな整数に操作した場合、サーバーが長時間リクエストに対応し、最終的には 500 エラーを返すことが判明しました。
    この種のリクエストを数回行うと、サーバーが応答しなくなりました。攻撃者は、最小限の労力でサーバーを激しく動作させたり (場合によっては応答しなくなったり)、クラッシュさせたりするようなリクエストを作成できます。この問題は、バージョン 2.4.15.2で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。(CVE-2024-24814)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-3751 : libapache2-mod-auth-openidc - セキュリティ更新

high Nessus プラグイン ID 191563

バージョン 1.1