Debian DLA-2298-1：libapache2-mod-auth-openidc 安全更新

medium Nessus 插件 ID 139098

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 libapache2-mod-auth-openidc（Apache HTTP 服务器的 OpenID Connect 身份验证模块）中发现多个问题。

CVE-2019-14857

未充分验证 URL 导致开放重定向漏洞。攻击者可将请求转发至非法网站，诱骗受害者提供 OpenID 提供程序的凭据。

CVE-2019-20479

由于对 URL 的验证不足，以斜线和反斜线开头的 URL 的开放重定向漏洞可能会被利用。

CVE-2019-1010247

OIDCRedirectURI 页面包含已生成的 JavaScript 代码，该代码使用轮询参数作为字符串变量，因此可能会包含额外的 JavaScript 代码。此漏洞可能会造成跨站脚本 (XSS)。

对于 Debian 9 stretch，已在版本 2.1.6-1+deb9u1 中修复这些问题。

我们建议您升级 libapache2-mod-auth-openidc 程序包。

如需了解 libapache2-mod-auth-openidc 的详细安全状态，请参阅

其安全跟踪页面：
https://security-tracker.debian.org/tracker/libapache2-mod-auth-openid c

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。