AlmaLinux 9.2 [TuxCare] 安全更新：mod_auth_openidc （ALMALINUX9.2：CLSA-2025：1746188656）

high Nessus 插件 ID 361509

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2025：1746188656公告中提及的漏洞的影响。

- mod_auth_openidc 是经 OpenID 认证的 Apache 2.x HTTP 服务器的认证和授权模块，可实现 OpenID Connect 依赖方功能。之前 2.4.16.11，mod_auth_openidc中的一个缺陷会导致将受保护的内容泄露给未经认证的用户。泄露的条件是 OIDCProviderAuthRequestMethod POST、有效帐户，并且不得有任何应用程序级网关（或负载均衡器等）保护服务器。当您请求受保护的资源时，响应包括 HTTP 状态、HTTP 标头、预期响应（自提交表单）和受保护的资源（无标头）。这是对受保护资源的请求示例，包括返回的所有数据。在 mod_auth_openidc 返回表单的情况下，它必须从check_userid返回 OK，以免进入 httpd 中的错误路径。这意味着 httpd 将尝试发布受保护的资源。提早调用 oidc_content_handler，从而有机会阻止 httpd 发出的正常输出。oidc_content_handler 对何时干预进行了多项检查，但不会针对此情况进行检查，因此处理程序会返回 DECLINED。因此，httpd 会将受保护的内容附加到响应中。已在 mod_auth_openidc 版本 >= 2.4.16.11中修补此问题。（CVE-2025-31492）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。