mod_auth_openidcの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。mod_auth_openidcを使用すると、Apache 2.x WebサーバーはOpenID Connect Relying PartyやOAuth 2.0 Resource Serverとして動作できます。セキュリティ修正プログラム：* mod_auth_openidc：OIDC_CLAIMおよびOIDCAuthNHeaderが「AuthType oauth20」構成でスキップされない（CVE-2017-6413）* mod_auth_openidc：エラーページにユーザーが指定したコンテンツを表示（CVE-2017-6059）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションにリンクされている『Red Hat Enterprise Linux 7.6リリースノート』を参照してください。

いくつかのCVEを修正する最新のUpstreamにアップグレードしてください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Oracle Linux 7 ホストに、ELSA-2019-2112 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.14 以前の Apache 用の Ping Identity OpenID Connect 認証モジュール (別名: mod_auth_openidc) の Mod_auth_openidc.c により、リモートの攻撃者が、ユーザーに提供された悪意のある URL を通じて、ページコンテンツを偽装し、無効なリクエストを発生させる可能性があります。(CVE-2017-6059)

  - OpenID Connect Relying Party および 2.1.6 以前の Apache HTTP Server の OAuth 2.0 Resource Server (別名 mod_auth_openidc) モジュールは、 AuthType oauth20 構成の OIDC_CLAIM_ および OIDCAuthNHeader ヘッダーをスキップしません。このため、リモートの攻撃者は、細工された HTTP トラフィックを介して認証をバイパスできます。
    (CVE-2017-6413)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

テキスト注入の欠陥が、mod_auth_openidcがエラーページを処理する方法に見つかりました。攻撃者がこの欠陥を利用して、ユーザーを特別に細工されたURLを開くよう誘導し、コンテンツのなりすましやフィッシング攻撃を実行する可能性があります。（CVE-2017-6059）mod_auth_openidcが、特定のリクエストパスのHTTPヘッダーを適切にサニタイズしないことがわかりました。リモートの攻撃者がこの欠陥を利用して、細工されたHTTPリクエストを送信して認証をバイパスし、秘密情報にアクセスする可能性があります。（CVE-2017-6413）

セキュリティ修正プログラム:

  - mod_auth_openidc: OIDC_CLAIMおよびOIDCAuthNHeaderが「AuthType oauth20」構成でスキップされない（CVE-2017-6413）

  - mod_auth_openidc: エラーページにユーザーが指定したコンテンツを表示（CVE-2017-6059）

mod_auth_openidcの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。mod_auth_openidcを使用すると、Apache 2.x WebサーバーはOpenID Connect Relying PartyやOAuth 2.0 Resource Serverとして動作できます。セキュリティ修正プログラム：* mod_auth_openidc：OIDC_CLAIMおよびOIDCAuthNHeaderが「AuthType oauth20」構成でスキップされない（CVE-2017-6413）* mod_auth_openidc：エラーページにユーザーが指定したコンテンツを表示（CVE-2017-6059）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションにリンクされているRed Hat Enterprise Linux 7.7リリースノートを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127674	RHEL 7：mod_auth_openidc（RHSA-2019:2112）	Nessus	Red Hat Local Security Checks	2019/8/12	2024/4/27	high
130306	Fedora 30：mod_auth_openidc（2019-7b06f18a10）	Nessus	Fedora Local Security Checks	2019/10/28	2024/4/16	high
130293	Fedora 29：mod_auth_openidc（2019-23638d42f3）	Nessus	Fedora Local Security Checks	2019/10/28	2024/4/16	high
180841	Oracle Linux 7: mod_auth_openidc (ELSA-2019-2112 )	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
129570	Amazon Linux AMI：mod24_auth_openidc（ALAS-2019-1300）	Nessus	Amazon Linux Local Security Checks	2019/10/4	2024/4/19	high
130225	Amazon Linux 2：mod_auth_openidc（ALAS-2019-1329）	Nessus	Amazon Linux Local Security Checks	2019/10/25	2024/4/17	high
130310	Fedora 31：mod_auth_openidc（2019-a25d5df3b4）	Nessus	Fedora Local Security Checks	2019/10/28	2024/4/16	high
128242	Scientific Linux セキュリティ更新: SL7.x x86_64のmod_auth_openidc（20190806）	Nessus	Scientific Linux Local Security Checks	2019/8/27	2024/5/1	high
128354	CentOS 7：mod_auth_openidc（RHSA-2019:2112）	Nessus	CentOS Local Security Checks	2019/8/30	2024/4/30	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high