New upstream release 0.14.2 which also fixes CVE-2019-3878 and CVE-2019-3877

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

A vulnerability was found in a previous version of mod_auth_mellon. An open redirect in the logout URL allows requests with backslashes to pass through by assuming that it is a relative URL, while the browsers silently convert backslash characters into forward slashes treating them as an absolute URL. This mismatch allows an attacker to bypass the redirect URL validation logic in apr_uri_parse function.(CVE-2019-3877)

A vulnerability was found in mod_auth_mellon. If Apache is configured as a reverse proxy and mod_auth_mellon is configured to only let through authenticated users (with the require valid-user directive), adding special HTTP headers that are normally used to start the special SAML ECP (non-browser based) can be used to bypass authentication.(CVE-2019-3878)

mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。安全修复：* mod_auth_mellon：使用具有反斜线的 URL 时，在注销 url 中开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

来自 Red Hat 安全公告 2019:0766： mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。 安全补丁： * mod_auth_mellon：ECP 流中的身份验证绕过 (CVE-2019-3878) * mod_auth_mellon：使用带反斜杠的 URL 时，注销 URL 中的开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 缺陷补丁： * 主机名含有数字时，mod_auth_mellon Cert 文件名错误（已于上游程序包修复） (BZ#1697487)

mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。安全修复：* mod_auth_mellon：ECP 流中身份验证绕过 (CVE-2019-3878) * mod_auth_mellon：使用具有反斜线的 URL 时，在注销 url 中开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 主机名含有数字时，mod_auth_mellon Cert 文件名错误（已于上游程序包修复）(BZ#1697487)

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4597-1 公告中提及的多个漏洞的影响。

  - mod_auth_mellon 0.13.1 之前版本容易受到跨站会话传输攻击，对服务器上运行的某个网站具有访问权限的用户可借此将其会话 Cookie 复制到相同服务器的不同网站上，从而获取该站点的访问权限。(CVE-2017-6807)

  - 在 mod_auth_mellon v0.14.2 之前版本中发现漏洞，其中注销 URL 的开放重定向允许具有反斜线的请求通过假设它是相对 URL 来通过，而浏览器会默默地将反斜线字符转换为将其视为绝对 URL 的正斜线。此错配可让攻击者在 apr_uri_parse 函数中绕过重定向 URL 验证逻辑。(CVE-2019-3877)

  - 在 mod_auth_mellon v0.14.2 之前版本中发现漏洞。如果 Apache 配置为反向 proxy 而 mod_auth_mellon 配置为仅允许通过经身份验证的用户（利用所需的有效用户指令），添加通常用于启动特殊 SAML ECP（非浏览器型）的特殊 HTTP 标头可用来绕过身份验证。(CVE-2019-3878)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

发现 mod_auth_mellon 未能正确处理某些请求。攻击者可能会利用此问题，将用户重定向至恶意 URL。(CVE-2019-3877)

发现 mod_auth_mellon 未能正确处理某些请求。攻击者可能利用此问题访问敏感信息。(CVE-2019-3878)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

現已提供適用於 Red Hat Enterprise Linux 8 的 mod_auth_mellon 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。安全性修正：* mod_auth_mellon：使用含反斜線 URL 時的登出 url 中的開放重新導向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 8.1 版本資訊。

來自 Red Hat 安全公告 2019:0766： 現已提供適用於 Red Hat Enterprise Linux 7 的 mod_auth_mellon 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。 安全性修正： * mod_auth_mellon：ECP 流程中的驗證繞過 (CVE-2019-3878) * mod_auth_mellon：使用帶反斜線的 URL 時，登出 URL 中的開放重新定向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。 錯誤修正： * 主機名稱含有數字時，mod_auth_mellon Cert 檔案名稱錯誤（已於上游套件修正） (BZ#1697487)

現已提供適用於 Red Hat Enterprise Linux 7 的 mod_auth_mellon 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。安全性修正：* mod_auth_mellon：ECP 流程中的驗證繞過 (CVE-2019-3878) * mod_auth_mellon：使用含反斜線 URL 時的登出 URL 中的開放重新導向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 主機名稱含有數字時，mod_auth_mellon Cert 檔案名稱錯誤 (已於上游封包修正) (BZ#1697487)

據發現，mod_auth_mellon 未正確處理某些要求。攻擊者可能會利用此問題，將使用者重新導向至惡意 URL。(CVE-2019-3877)

據發現，mod_auth_mellon 未正確處理某些要求。攻擊者可能利用此問題存取敏感資訊。(CVE-2019-3878)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS 主機上安裝的一個套件受到 USN-4597-1 公告中所提及的多個弱點影響。

  - 0.13.1 版之前的 mod_auth_mellon 容易受到跨網站工作階段傳輸攻擊，可存取伺服器上正在執行的一個網站的使用者可將其工作階段 Cookie 複製到相同伺服器上的不同網站，從而取得該網站的存取權。(CVE-2017-6807)

  - 在 mod_auth_mellon v0.14.2 之前版本中發現一個弱點。登出 URL 的開放重新導向允許具有反斜線的要求透過假設它是相對 URL 來通過，而瀏覽器會默默地將反斜線字元轉換為將其視為絕對 URL 的正斜線。此錯誤匹配可讓攻擊者在 apr_uri_parse 函式中繞過重新導向 URL 驗證邏輯。(CVE-2019-3877)

  - 在 mod_auth_mellon v0.14.2 之前版本中發現一個弱點。如果 Apache 設定為反向 proxy，而 mod_auth_mellon 設定為僅允許經驗證的使用者通過 (需要有效的使用者指示詞)，則透過新增通常用來啟動特殊 SAML ECP (非瀏覽器型) 的特殊 HTTP 標頭可繞過驗證。(CVE-2019-3878)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124481	Fedora 30 : mod_auth_mellon (2019-2d8ee47f61)	Nessus	Fedora Local Security Checks	2019/5/2	2024/5/30	high
125287	Amazon Linux 2 : mod_auth_mellon (ALAS-2019-1200)	Nessus	Amazon Linux Local Security Checks	2019/5/21	2024/5/21	high
130538	RHEL 8 : mod_auth_mellon (RHSA-2019:3421)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/4/28	medium
124097	Oracle Linux 7：mod_auth_mellon (ELSA-2019-0766)	Nessus	Oracle Linux Local Security Checks	2019/4/17	2024/6/3	high
124099	RHEL 7：mod_auth_mellon (RHSA-2019:0766)	Nessus	Red Hat Local Security Checks	2019/4/17	2024/6/3	high
141824	Ubuntu 16.04 LTS：mod_auth_mellon 漏洞 (USN-4597-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2024/8/27	high
123503	Ubuntu 18.04 LTS：mod_auth_mellon 漏洞 (USN-3924-1)	Nessus	Ubuntu Local Security Checks	2019/3/29	2024/8/27	high
130538	RHEL 8：mod_auth_mellon (RHSA-2019:3421)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/4/28	medium
124097	Oracle Linux 7：mod_auth_mellon (ELSA-2019-0766)	Nessus	Oracle Linux Local Security Checks	2019/4/17	2024/6/3	high
124099	RHEL 7：mod_auth_mellon (RHSA-2019:0766)	Nessus	Red Hat Local Security Checks	2019/4/17	2024/6/3	high
123503	Ubuntu 18.04 LTS：mod_auth_mellon 弱點 (USN-3924-1)	Nessus	Ubuntu Local Security Checks	2019/3/29	2024/8/27	high
141824	Ubuntu 16.04 LTS：mod_auth_mellon 弱點 (USN-4597-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2024/8/27	high

検出

プラグインの検索

high

high

medium

high

high

high

high

medium

high

high

high

high