遠端 Debian 11 / 12 主機已安裝的套件會受到 dla-4708 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4708-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 7 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：python-authlib 版本：0.15.4-1+deb11u4 1.2.0-1+deb12u2 CVE 識別碼： CVE-2026-27962 CVE-2026-28490 CVE-2026-28498 CVE-2026-41425 CVE-2026-44681

    以下安全問題已在 Debian bullseye 和 Debian bookworm 中隨附的 python-authlib 中發現（並修復）。

    CVE-2026-44681

        Authlib 的 OpenIDImplicitGrant 和 OpenIDHybridGrant 授權端點中未經驗證的開放重新導向允許遠端攻擊者提交省略 openid 範圍的授權要求，使授權伺服器向攻擊者選擇的 URL 發出 HTTP 302。

    對於 Debian 11 bullseye，此問題已在 0.15.4-1+deb11u4 版本中修復。

    此外，在 Debian bookworm 中隨附的 python-authlib 版本中已修正以下問題：

    CVE-2026-27962

        當 key=None 傳遞至 JWS 還原序列化函式時，在 jwk 標頭欄位中內嵌特製的公開金鑰，藉此修正繞過身份驗證和授權弱點。

    CVE-2026-28490

        Authlib 暴露了無效 PKCS#1 v1.5 填充和無效 AES-GCM 標籤之間可區分的錯誤回應，從而啟用了 Bleichenbacher 式攻擊。

    CVE-2026-28498

        修正 at_hash 和 c_hash 驗證中的 OIDC ID 權杖驗證繞過。
        當 create_half_hash（） 收到未知演算法時，_verify_hash（） 會靜默地傳回 True，允許偽造的 ID Token 通過驗證。

    CVE-2026-41425

        CSRF 保護現在涵蓋 authlib.integrations.starlette_client 中的快取功能。OAuth 也是如此。

    對於 Debian 12 書蟲，這些問題已在 1.2.0-1+deb12u2 版本中修復。

    我們建議您升級 python-authlib 套件。

    有關 python-authlib 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/python-authlib

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4708 ： python-authlib-doc - 安全性更新

high Nessus Plugin ID 331518

版本 1.1