2 つのセキュリティ問題を修正する更新済みの mod_auth_mellon パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

mod_auth_mellon は Apache HTTP Server に対して、SAML 2.0 認証モジュールを提供します。

メモリでのセッション重複を引き起こす可能性がある mod_auth_mellon のセッション処理において、情報漏洩の欠陥が検出されました。リモートの攻撃者がこの欠陥を利用して、別のユーザーセッションからデータを取得する可能性があります。（CVE-2014-8566）

ユーザーのログアウトリクエストを処理する際に、初期化されていないデータが読み取られる可能性があることが見つかりました。ログアウトしようとすることで、ユーザーは Apache HTTP Server をクラッシュさせる可能性があります。（CVE-2014-8567）

Red Hat は mod_auth_mellon チームに対して、これらの問題を報告したことに感謝の意を表します。Upstream は、Matthew Slowe 氏を CVE-2014-8566 の最初の報告者として承認します。

mod_auth_mellon の全ユーザーは、バックポートされた、これらの問題を修正するパッチが含まれるこの更新済みパッケージへアップグレードすることを推奨します。

検出

RHEL 6：mod_auth_mellon（RHSA-2014:1803）

high Nessus プラグイン ID 78884

変更ログが見つかりません