Debian dla-4352 : python-authlib-doc - セキュリティ更新

high Nessus プラグイン ID 271941

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートのDebian 11ホストには、dla-4352アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

-------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4352-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

パッケージ python-authlib バージョン 0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706

OAuth および OpenID Connect サーバー用の Python ライブラリである python-authlib で複数の脆弱性が見つかりました。

CVE-2024-37568

jwt.decode呼び出しでアルゴリズムが指定されない限り、任意の非対称公開鍵でHMAC検証が許可されます。

CVE-2025-59420

Authlibs JWS 検証は、未知の重大なヘッダーパラメーターcritを宣言するトークンを受け入れ、RFC 7515 はセマンティックを理解する必要があります。
攻撃者は、厳格な検証機能が拒否するが Authlib が受け入れる重要なヘッダーのある署名済みトークンを作成できます。混合言語フリートでは、これによりスプリットブレイン検証が有効になり、ポリシーのバイパス、リプレイ、権限昇格が発生する可能性があります。

CVE-2025-61920

Authlibs JOSEの実装が、無制限のJWS/JWTヘッダーと署名セグメントを受け入れ、これが検証中にDoSを引き起こす可能性があります。

CVE-2025-62706

Authlibs JWE zip=DEF パスが無制限の DEFLATE 展開を実行し、これにより DoS が発生する可能性があります。

Debian 11 Bullseyeでは、これらの問題はバージョン0.15.4-1+deb11u1で修正されました。

python-authlib パッケージをアップグレードすることを推奨します。

python-authlib の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/python-authlib

Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。