Debian DLA-4579：python-authlib-doc - 安全更新

high Nessus 插件 ID 314275

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4579 公告中提及的多个漏洞的影响。

------------------------------------------------------------------------- Debian LTS 公告 DLA-4579-1 [email protected] https://www.debian.org/lts/security/Emmanuel arias 2026 年 5 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

程序包：python-authlib 版本：0.15.4-1+deb11u2 CVE ID： CVE-2026-27962 CVE-2026-28490 CVE-2026-28498

构建 OAuth 和 OpenID Connect 服务器的 python 库 python-authlib 中发现三个安全漏洞，可能会造成身份验证绕过或信息泄露。

CVE-2026-27962

当将 key=None 传递到 JWS 反序列化函数时，通过在 jwk 标头字段中嵌入构建的公钥，修复认证和授权绕过漏洞。

CVE-2026-28490

Authlib 暴露无效 PKCS#1 v1.5 填充和无效 AES-GCM 标签之间可区分的错误响应，从而引发 Bleichenbacher 式攻击。

CVE-2026-28498

修复 at_hash 和 c_hash 验证中的 OIDC ID 标记验证绕过。
当 create_half_hash（）收到未知算法时，_verify_hash（）静默返回 True，从而允许伪造的 ID 标记通过验证。

对于 Debian 11 bullseye，这些问题已在 0.15.4-1+deb11u2 版本中修复。

建议您升级 python-authlib 程序包。

若要了解更多 python-authlib 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-authlib

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。