Debian dla-4352python-authlib-doc - 安全更新

high Nessus 插件 ID 271941

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4352 公告中提及的多个漏洞的影响。

-------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4352-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

程序包python-authlib 版本0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706

在用于 OAuth 和 OpenID Connect 服务器的 Python 库 python-authlib 中发现多个漏洞。

CVE-2024-37568

除非在 jwt.decode 调用中指定了算法否则允许使用任何非对称公钥进行 HMAC 验证。

CVE-2025-59420

Authlibs JWS 验证接受声明未知关键标头参数 (crit) 的标记从而违反了 RFC 7515 mustunderland 语义。
攻击者可构建具有严格验证程序拒绝但 Authlib 接受的关键标头的签名标记。在混合语言队列中这会启用 splitbrain 验证并可导致策略绕过、重放或权限升级。

CVE-2025-61920

Authlibs JOSE 实现接受不受限制的 JWS/JWT 标头和签名段这可导致验证期间 DoS。

CVE-2025-62706

Authlibs JWE zip=DEF path 执行不受限制的 DEFLATE 解压缩可能会造成 DoS。

对于 Debian 11 Bullseye已在版本 0.15.4-1+deb11u1 中修复这些问题。

我们建议您升级 python-authlib 程序包。

有关 python-authlib 的详细安全状态请参阅其安全跟踪页面网址
https://security-tracker.debian.org/tracker/python-authlib

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。