リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:0758-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - mod_auth_openidc は、OpenID Connect Relying Party 機能を実装した Apache 2.x HTTP サーバー用の OpenID Certified 認証および承認モジュールです。影響を受けるバージョンでは、mod_auth_openidc_session_chunks クッキー値の入力検証がないため、サーバーがサービス拒否 (DoS) 攻撃に対して脆弱です。内部セキュリティ監査が実施され、レビュアーが、mod_auth_openidc_session_chunks クッキーの値を 99999999 のような非常に大きな整数に操作した場合、サーバーが長時間リクエストに対応し、最終的には 500 エラーを返すことが判明しました。
    この種のリクエストを数回行うと、サーバーが応答しなくなりました。攻撃者は、最小限の労力でサーバーを激しく動作させたり (場合によっては応答しなくなったり)、クラッシュさせたりするようなリクエストを作成できます。この問題は、バージョン 2.4.15.2で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。(CVE-2024-24814)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12 セキュリティ更新: apache2-mod_auth_openidc (SUSE-SU-2024:0758-1)

high Nessus プラグイン ID 191705

バージョン 1.1

バージョン 1.0

バージョン 1.1 Jun 14, 2024, 4:55 PM IAVM reference STIG Severity (set to "II") Plugin Feed: 202406141655
バージョン 1.0 Mar 7, 2024, 8:11 PM New Plugin Feed: 202403072011