AlmaLinux 9.2 [TuxCare] 安全更新：mod_auth_openidc （ALMALINUX9.2：CLSA-2025：1746655009）

high Nessus 插件 ID 361675

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2025：1746655009公告中提及的漏洞的影响。

- mod_auth_openidc 是经 OpenID 认证的 Apache 2.x HTTP 服务器的认证和授权模块，可实现 OpenID Connect 依赖方功能。在受影响的版本中，缺少对 mod_auth_openidc_session_chunks Cookie 值的输入验证会使服务器容易受到拒绝服务 (DoS) 攻击。执行内部安全审计后，审查者发现，如果操纵 mod_auth_openidc_session_chunks 的值并将其设为一个非常大的整数（例如 99999999），服务器即使花费很长时间也难以处理该请求，最终会返回 500 错误。
发出数次此类请求会导致我们的服务器失去响应。攻击者可轻而易举地构建此类请求，进而导致服务器繁忙（并有可能失去响应）和/或崩溃。此问题已在 2.4.15.2 版中解决。建议用户升级。目前尚无针对此漏洞的变通方案。(CVE-2024-24814)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。