Debian DLA-2298-1：libapache2-mod-auth-openidc 安全性更新

medium Nessus Plugin ID 139098

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 libapache2-mod-auth-openidc (適用於 Apache HTTP 伺服器的 OpenID Connect 驗證模組) 中發現若干問題。

CVE-2019-14857

URL 驗證不足會導致開放重新導向弱點。攻擊者可透過將要求轉送至非法網站，來誘騙受害者向 OpenID 提供者提供認證。

CVE-2019-20479

由於對 URL 的驗證不充分，以斜線和反斜線開頭的 URL 中存在的開放重新導向問題可能會遭到濫用。

CVE-2019-1010247

OIDCRedirectURI 頁面包含使用輪詢參數作為字串變數產生的 JavaScript 程式碼，因此可能包含其他 JavaScript 程式碼。這可導致跨網站指令碼 (XSS)。

針對 Debian 9「Stretch」，已在 2.1.6-1+deb9u1 版本中修正這些問題。

建議您升級 libapache2-mod-auth-openidc 套件。

如需有關 libapache2-mod-auth-openidc 安全性狀態的詳細資訊，請參閱

其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。