AlmaLinux 9.2 [TuxCare] セキュリティ更新:mod_auth_openidc (ALMALINUX9.2:CLSA-2025:1746188656)

high Nessus プラグイン ID 361509

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1746188656アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- mod_auth_openidc は、OpenID Connect Relying Party 機能を実装した Apache 2.x HTTP サーバー用の OpenID Certified 認証および承認モジュールです。2.4.16.11以前は、mod_auth_openidc内のバグにより、保護されたコンテンツが認証されていないユーザーに漏えいしていました。開示の条件は、OIDCProviderAuthRequestMethod POST、有効なアカウントであり、サーバーを保護するアプリケーションレベルのゲートウェイ (またはロードバランサーなど) があってはなりません。保護されたリソースをリクエストすると、応答には HTTP ステータス、HTTP ヘッダー、意図した応答 (自己送信フォーム)、保護されたリソース (ヘッダーなし) が含まれます。これは、返されたすべてのデータを含む、保護されたリソースに対する要求の例です。mod_auth_openidc がフォームを返す場合、httpd のエラーパスをたどらないように、check_userid から OK を返す必要があります。これは、httpd が保護されたリソースの発行を試みることを意味します。oidc_content_handler が早期に呼び出され、通常の出力が httpd によって発行されることを防ぐ機会があります。oidc_content_handler には、介入するタイミングについて多数のチェックがありますが、この場合はチェックしないため、ハンドラーは DECLINED を返します。その結果、httpdは保護されたコンテンツを応答に追加します。この問題は、mod_auth_openidcバージョン >= 2.4.16.11 でパッチが適用されています。(CVE-2025-31492)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。