Compass Security Schweiz AG discovered an issue in libapache2-mod-auth-openidc, an OpenID Connect authentication module for Apache. The OIDCRedirectURI page contains generated JavaScript code that uses a poll parameter as a string variable, thus might contain additional JavaScript code. This might result in Criss-Site Scripting (XSS).

For Debian 8 'Jessie', this problem has been fixed in version 1.6.0-1+deb8u1.

We recommend that you upgrade your libapache2-mod-auth-openidc packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Several issues have been found in libapache2-mod-auth-openidc, the OpenID Connect authentication module for the Apache HTTP server.

CVE-2019-14857

Insufficient validation of URLs leads to an Open Redirect vulnerability. An attacker may trick a victim into providing credentials for an OpenID provider by forwarding the request to an illegitimate website.

CVE-2019-20479

Due to insufficient validatation of URLs an Open Redirect vulnerability for URLs beginning with a slash and backslash could be abused.

CVE-2019-1010247

The OIDCRedirectURI page contains generated JavaScript code that uses a poll parameter as a string variable, thus might contain additional JavaScript code. This might result in Criss-Site Scripting (XSS).

For Debian 9 stretch, these problems have been fixed in version 2.1.6-1+deb9u1.

We recommend that you upgrade your libapache2-mod-auth-openidc packages.

For the detailed security status of libapache2-mod-auth-openidc please refer to

its security tracker page at:
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Compass Security Schweiz AG 发现，Apache 的 OpenID 连接身份验证模块 libapache2-mod-auth-openidc 中存在问题。OIDCRedirectURI 页面包含已生成的 JavaScript 代码，该代码使用轮询参数作为字符串变量，因此可能会包含额外的 JavaScript 代码。此漏洞可能会造成跨站脚本 (XSS)。对于 Debian 8“Jessie”，此问题已在 1.6.0-1~deb8u1 版本中修复。我们建议您升级 libapache2-mod-auth-openidc 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Apache HTTPサーバーのOpenID Connect認証モジュールであるlibapache2-mod-auth-openidcに複数のセキュリティの脆弱性が見つかりました。

CVE-2019-14857

URLの検証が不十分のため、オープンリダイレクトの脆弱性があります。攻撃者が、リクエストを不正なWebサイトに転送することにより、被害者を誘導してOpenIDプロバイダーの資格情報を提供させる可能性があります。

CVE-2019-20479

URLの検証が不十分なため、スラッシュとバックスラッシュで始まるURLのオープンリダイレクト脆弱性が悪用される可能性がありました

CVE-2019-1010247

OIDCRedirectURIページには、文字列変数としてポーリングパラメーターを使用する生成されたJavaScriptコードが含まれています。これにより、追加のJavaScriptコードが含まれている可能性があります。これにより、クロスサイトスクリプティング（XSS）が発生する可能性があります。

Debian 9「Stretch」では、これらの問題はバージョン2.1.6-1+deb9u1で修正されています。

libapache2-mod-auth-openidcパッケージをアップグレードすることをお勧めします。

libapache2-mod-auth-openidcの詳細なセキュリティステータスについては、次を参照してください

セキュリティトラッカーのページ:
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Compass Security Schweiz AGは、Apache用OpenID Connect認証モジュールであるlibapache2-mod-auth-openidcに問題を発見しました。OIDCRedirectURIページには、文字列変数としてポーリングパラメーターを使用する生成されたJavaScriptコードが含まれています。これにより、追加のJavaScriptコードが含まれている可能性があります。これにより、クロスサイトスクリプティング（XSS）が発生する可能性があります。

Debian 8「Jessie」では、この問題はバージョン1.6.0-1+deb8u1で修正されました。

お使いのlibapache2-mod-auth-openidcパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 libapache2-mod-auth-openidc (適用於 Apache HTTP 伺服器的 OpenID Connect 驗證模組) 中發現若干問題。

CVE-2019-14857

URL 驗證不足會導致開放重新導向弱點。攻擊者可透過將要求轉送至非法網站，來誘騙受害者向 OpenID 提供者提供認證。

CVE-2019-20479

由於對 URL 的驗證不充分，以斜線和反斜線開頭的 URL 中存在的開放重新導向問題可能會遭到濫用。

CVE-2019-1010247

OIDCRedirectURI 頁面包含使用輪詢參數作為字串變數產生的 JavaScript 程式碼，因此可能包含其他 JavaScript 程式碼。這可導致跨網站指令碼 (XSS)。

針對 Debian 9「Stretch」，已在 2.1.6-1+deb9u1 版本中修正這些問題。

建議您升級 libapache2-mod-auth-openidc 套件。

如需有關 libapache2-mod-auth-openidc 安全性狀態的詳細資訊，請參閱

其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libapache2-mod-auth-openidc（Apache HTTP 服务器的 OpenID Connect 身份验证模块）中发现多个问题。

CVE-2019-14857

未充分验证 URL 导致开放重定向漏洞。攻击者可将请求转发至非法网站，诱骗受害者提供 OpenID 提供程序的凭据。

CVE-2019-20479

由于对 URL 的验证不足，以斜线和反斜线开头的 URL 的开放重定向漏洞可能会被利用。

CVE-2019-1010247

OIDCRedirectURI 页面包含已生成的 JavaScript 代码，该代码使用轮询参数作为字符串变量，因此可能会包含额外的 JavaScript 代码。此漏洞可能会造成跨站脚本 (XSS)。

对于 Debian 9 stretch，已在版本 2.1.6-1+deb9u1 中修复这些问题。

我们建议您升级 libapache2-mod-auth-openidc 程序包。

如需了解 libapache2-mod-auth-openidc 的详细安全状态，请参阅

其安全跟踪页面：
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Compass Security Schweiz AG 在 libapache2-mod-auth-openidc (適用於 Apache 的 OpenID 連線驗證模組) 中發現一個問題。OIDCRedirectURI 頁面包含使用輪詢參數作為字串變數產生的 JavaScript 程式碼，因此可能包含其他 JavaScript 程式碼。這可導致跨網站指令碼 (XSS)。針對 Debian 8「Jessie」，此問題已在 1.6.0-1+deb8u1 版本中修正。建議您升級 libapache2-mod-auth-openidc 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128121	Debian DLA-1894-1 : libapache2-mod-auth-openidc security	Nessus	Debian Local Security Checks	2019/8/26	2024/5/2	medium
139098	Debian DLA-2298-1 : libapache2-mod-auth-openidc security update	Nessus	Debian Local Security Checks	2020/7/30	2024/2/27	medium
128121	Debian DLA-1894-1：libapache2-mod-auth-openidc 安全	Nessus	Debian Local Security Checks	2019/8/26	2024/5/2	medium
139098	Debian DLA-2298-1: libapache2-mod-auth-openidcセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/7/30	2024/2/27	medium
128121	DebianDLA-1894-1: libapache2-mod-auth-openidcのセキュリティ	Nessus	Debian Local Security Checks	2019/8/26	2024/5/2	medium
139098	Debian DLA-2298-1：libapache2-mod-auth-openidc 安全性更新	Nessus	Debian Local Security Checks	2020/7/30	2024/2/27	medium
139098	Debian DLA-2298-1：libapache2-mod-auth-openidc 安全更新	Nessus	Debian Local Security Checks	2020/7/30	2024/2/27	medium
128121	Debian DLA-1894-1：libapache2-mod-auth-openidc 安全性	Nessus	Debian Local Security Checks	2019/8/26	2024/5/2	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium