远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4352 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4352-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 10 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包python-authlib 版本0.15.4-1+deb11u1 CVE ID CVE-2024-37568 CVE-2025-59420 CVE-2025-61920 CVE-2025-62706


    在用于 OAuth 和 OpenID Connect 服务器的 Python 库 python-authlib 中发现多个漏洞。

    CVE-2024-37568

        除非在 jwt.decode 调用中指定了算法否则允许使用任何非对称公钥进行 HMAC 验证。

    CVE-2025-59420

        Authlibs JWS 验证接受声明未知关键标头参数 (crit) 的标记从而违反了 RFC 7515 mustunderland 语义。
        攻击者可构建具有严格验证程序拒绝但 Authlib 接受的关键标头的签名标记。在混合语言队列中这会启用 splitbrain 验证并可导致策略绕过、重放或权限升级。

    CVE-2025-61920

        Authlibs JOSE 实现接受不受限制的 JWS/JWT 标头和签名段这可导致验证期间 DoS。

    CVE-2025-62706

        Authlibs JWE zip=DEF path 执行不受限制的 DEFLATE 解压缩可能会造成 DoS。


    对于 Debian 11 Bullseye已在版本 0.15.4-1+deb11u1 中修复这些问题。

    我们建议您升级 python-authlib 程序包。

    有关 python-authlib 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/python-authlib

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4352python-authlib-doc - 安全更新

high Nessus 插件 ID 271941

版本 1.1