The remote Debian 10 host has packages installed that are affected by a vulnerability as referenced in the dla-3496 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3496-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     July 14, 2023                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : lemonldap-ng     Version        : 2.0.2+ds-7+deb10u9     CVE ID         : CVE-2023-28862

    Issues were discovered in Lemonldap::NG, an OpenID-Connect, CAS and SAML     compatible Web-SSO system, which could lead to impersonation of users     with a second factor authentication.

    Weak session ID generation in the AuthBasic handler and incorrect     failure handling during a password check allow attackers to bypass 2FA     verification.  Any plugin that tries to deny session creation after the     store step does not deny an AuthBasic session.

    Using the AuthBasic handler is now refused for users with a second     factor.  Admins who are *absolutely sure* that such accounts should be     able to use AuthBasic handlers (which are password only) can append `and     not $ENV{AuthBasic}` to the 2FA activation rules.

    For Debian 10 buster, these problems have been fixed in version     2.0.2+ds-7+deb10u9.

    We recommend that you upgrade your lemonldap-ng packages.

    For the detailed security status of lemonldap-ng please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/lemonldap-ng

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in LemonLDAP::NG before 2.16.1. Weak session ID generation in the AuthBasic     handler and incorrect failure handling during a password check allow attackers to bypass 2FA verification.
    Any plugin that tries to deny session creation after the store step does not deny an AuthBasic session.
    (CVE-2023-28862)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.16.1より前の LemonLDAP::NG で問題が見つかりました。AuthBasic ハンドラーにおける弱いセッション ID 生成、およびパスワードチェック中の不適切な失敗処理により、攻撃者が 2FA 検証をバイパスする可能性があります。
    ストアステップ後にセッション作成を拒否しようとするプラグインは、AuthBasic セッションを拒否しません。
    (CVE-2023-28862)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3496 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - LemonLDAP: : NG 2.16.1 以前で問題が発見されました。AuthBasic ハンドラーにおける弱いセッション ID 生成、およびパスワードチェック中の不適切な失敗処理により、攻撃者が 2FA 検証をバイパスする可能性があります。
    ストアステップ後にセッション作成を拒否しようとするプラグインは、AuthBasic セッションを拒否しません。
    (CVE-2023-28862)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 10 主機上安裝的多個套件受到 dla-3496 公告中提及的一個弱點影響。

  - 在 LemonLDAP: : NG 2.16.1 之前版本中發現一個問題。AuthBasic 處理常式會產生弱式工作階段 ID，並且在檢查密碼期間會錯誤處理失敗，這讓攻擊者可以略過 2FA 驗證。
    任何在儲存步驟之後嘗試拒絕工作階段建立的外掛程式都不會拒絕 AuthBasic 工作階段。
    (CVE-2023-28862)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 LemonLDAP::NG 之前的版本中发现问题 2.16.1。AuthBasic 处理程序中生成的弱会话 ID 和密码检查期间的错误处理让攻击者可以绕过 2FA 验证。
    任何在存储步骤之后尝试拒绝会话创建的插件都不会拒绝 AuthBasic 会话。
    (CVE-2023-28862)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 2.16.1之前的 LemonLDAP::NG 中發現一個問題。AuthBasic 處理常式會產生弱式工作階段 ID，並且在檢查密碼期間會錯誤處理失敗，這讓攻擊者可以略過 2FA 驗證。
    任何在儲存步驟之後嘗試拒絕工作階段建立的外掛程式都不會拒絕 AuthBasic 工作階段。
    (CVE-2023-28862)

請注意，Nessus 依賴供應商報告的套件存在。

远程 Debian 10 主机上安装的多个程序包受到 dla-3496 公告中提及的一个漏洞影响。

  - 在 LemonLDAP: : NG（位于 2.16.1 的之前版本中）发现一个问题。AuthBasic 处理程序中生成的弱会话 ID 和密码检查期间的错误处理让攻击者可以绕过 2FA 验证。
    任何在存储步骤之后尝试拒绝会话创建的插件都不会拒绝 AuthBasic 会话。
    (CVE-2023-28862)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
178300	Debian dla-3496 : lemonldap-ng - security update	Nessus	Debian Local Security Checks	2023/7/14	2025/1/22	critical
252470	Linux Distros Unpatched Vulnerability : CVE-2023-28862	Nessus	Misc.	2025/8/20	2025/8/20	critical
252470	Linux Distros のパッチ未適用の脆弱性: CVE-2023-28862	Nessus	Misc.	2025/8/20	2025/8/20	critical
178300	Debian DLA-3496-1 : Lemonldap-ng - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/7/14	2025/1/22	critical
178300	Debian DLA-3496-1：lemonldap-ng - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/7/14	2025/1/22	critical
252470	Linux Distros 未修补的漏洞：CVE-2023-28862	Nessus	Misc.	2025/8/20	2025/8/20	critical
252470	Linux Distros 未修補的弱點：CVE-2023-28862	Nessus	Misc.	2025/8/20	2025/8/20	critical
178300	Debian DLA-3496-1：lemonldap-ng - LTS 安全更新	Nessus	Debian Local Security Checks	2023/7/14	2025/1/22	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical