Debian dla-3751：libapache2-mod-auth-openidc - 安全更新

high Nessus 插件 ID 191563

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3751 公告中提及的漏洞影响。

- mod_auth_openidc 是经 OpenID 认证的 Apache 2.x HTTP 服务器的认证和授权模块，可实现 OpenID Connect 依赖方功能。在受影响的版本中，缺少对 mod_auth_openidc_session_chunks Cookie 值的输入验证会使服务器容易受到拒绝服务 (DoS) 攻击。执行内部安全审计后，审查者发现，如果操纵 mod_auth_openidc_session_chunks 的值并将其设为一个非常大的整数（例如 99999999），服务器即使花费很长时间也难以处理该请求，最终会返回 500 错误。
发出数次此类请求会导致我们的服务器失去响应。攻击者可轻而易举地构建此类请求，进而导致服务器繁忙（并有可能失去响应）和/或崩溃。此问题已在 2.4.15.2 版中解决。建议用户升级。目前尚无针对此漏洞的变通方案。(CVE-2024-24814)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。