遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4352 公告中所提及。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4352-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706


    在適用於 OAuth 和 OpenID Connect 伺服器的 Python 程式庫 python-authlib 中發現多個弱點。

    CVE-2024-37568

        除非在 jwt.decode 呼叫中指定演算法否則允許使用任何非對稱公開金鑰進行 HMAC 驗證。

    CVE-2025-59420

        Authlibs JWS 驗證接受宣告未知重大標頭參數 (crit) 的 token從而違反 RFC 7515 mustunderstand 語意。
        攻擊者可特製具有嚴格驗證器拒絕但 Authlib 接受之重要標頭的已簽署 token。在混合語言隊組中這會啟用 splitbrain 驗證且可導致原則繞過、重播或權限提升。

    CVE-2025-61920

        Authlibs JOSE 實作接受無限制的 JWS/JWT 標頭和簽章區段這可能會在驗證期間導致 DoS。

    CVE-2025-62706

        Authlibs JWE zip=DEF 路徑執行無限制的 DEFLATE 解壓縮進而導致 DoS。


    針對 Debian 11 Bullseye這些問題已在 0.15.4-1+deb11u1 版本中修正。

    建議您升級 python-authlib 套件。

    如需 python-authlib 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/python-authlib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4352python-authlib-doc - 安全性更新

high Nessus Plugin ID 271941

版本 1.1