遠端 Debian 11 主機已安裝的套件會受到 dla-4579 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4579-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 5 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-authlib 版本：0.15.4-1+deb11u2 CVE 識別碼： CVE-2026-27962 CVE-2026-28490 CVE-2026-28498

    python-authlib 是一個建置 OAuth 和 OpenID Connect 伺服器的 python 程式庫，發現三個安全性弱點，可導致繞過身份驗證或資訊洩露。

    CVE-2026-27962

      當 key=None 傳遞至 JWS 還原序列化函式時，在 jwk 標頭欄位中內嵌特製的公開金鑰，以修正繞過身份驗證和授權弱點。

    CVE-2026-28490

      Authlib 暴露了無效 PKCS#1 v1.5 填充和無效 AES-GCM 標籤之間可區分的錯誤回應，從而啟用了 Bleichenbacher 式攻擊。

    CVE-2026-28498

      修正 at_hash 和 c_hash 驗證中的 OIDC ID 權杖驗證繞過。
      當 create_half_hash（） 收到未知演算法時，_verify_hash（） 會靜默地傳回 True，允許偽造的 ID Token 通過驗證。

    對於 Debian 11 bullseye，這些問題已在 0.15.4-1+deb11u2 版本中修復。

    我們建議您升級 python-authlib 套件。

    有關 python-authlib 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/python-authlib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4579 ： python-authlib-doc - 安全性更新

high Nessus Plugin ID 314275

版本 1.1