遠端 Debian 10 主機上安裝的一個套件受到 dla-3359 公告中提及的多個弱點影響。

  - mod_auth_mellon 0.14.2 及之前的版本透過 login?ReturnTo= 子字串可造成開放重新導向弱點，例如忽略目標 URL 中http: 後面的 //。(CVE-2019-13038)

  - 在 mod_auth_mellon 中發現一個未正確清理登出 URL 的缺陷。攻擊者可利用此問題，誘騙使用者造訪可重新導向至外部及潛在惡意伺服器的受信任 Web 應用程式 URL，藉此發動網路釣魚攻擊。此弱點對機密性與完整性的威脅最大。(CVE-2021-3639)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3359-1：libapache2-mod-auth-mellon - LTS 安全性更新

medium Nessus Plugin ID 172487

找不到依附元件