运行 CORE 5.04 / MAIN 5.04 版本的远程 NewStart CGSL 主机中所安装的 mod_auth_openidc 程序包受到多个漏洞的影响：- Apache HTTP 服务器的 OpenID Connect Relying Party 和 OAuth 2.0 Resource Server（又称为 mod_auth_openidc）模块 2.1.6 之前的版本未跳过 AuthType oauth20 配置中的 OIDC_CLAIM_ 和 OIDCAuthNHeader 标头，这使得远程攻击者能够通过特制的 HTTP 流量绕过身份验证。(CVE-2017-6413) - Apache 的 Ping Identity OpenID Connect 身份验证模块中的 Mod_auth_openidc.c（又称为 mod_auth_openidc）2.14 之前版本可让远程攻击者通过提供给用户的恶意 URL，伪造页面内容，从而触发无效请求。(CVE-2017-6059) 请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2019-2112 公告中提及的多个漏洞影响。

  - Apache 2.14 之前版本的 Ping Identity OpenID Connect 身份验证模块中的 Mod_auth_openidc.c（又称为 mod_auth_openidc）之前版本可让远程攻击者通过提供给用户的恶意 URL，伪造页面内容，从而触发无效请求。(CVE-2017-6059)

  - Apache HTTP 服务器的 OpenID Connect Relying Party 和 OAuth 2.0 Resource Server（又称为 mod_auth_openidc）模块 2.1.6 之前的版本未跳过 AuthType oauth20 配置中的 OIDC_CLAIM_ 和 OIDCAuthNHeader 标头，这使得远程攻击者能够通过特制的 HTTP 流量绕过身份验证。
    (CVE-2017-6413)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

mod_auth_openidc 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。mod_auth_openidc 作为 OpenID Connect Relying Party 和/或 OAuth 2.0 Resource Server 启用 Apache 2.x web 服务器操作。安全修复：* mod_auth_openidc：在 'AuthType oauth20' 配置中未跳过 OIDC_CLAIM 和 OIDCAuthNHeader (CVE-2017-6413) * mod_auth_openidc：在错误页面中显示用户提供的内容 (CVE-2017-6059) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.7 发行说明。

安全修复：- mod_auth_openidc：在 'AuthType oauth20' 配置中未跳过 OIDC_CLAIM 和 OIDCAuthNHeader (CVE-2017-6413) - mod_auth_openidc：在错误页面中显示用户提供的内容 (CVE-2017-6059)

mod_auth_openidc 处理错误页面的方式中发现文本注入缺陷。攻击者可以通过诱骗用户打开特制的 URL，利用此缺陷执行内容伪造和钓鱼攻击。(CVE-2017-6059) 据发现，mod_auth_openidc 未针对特定请求路径，正确清理 HTTP 标头。远程攻击者可能通过发送构建的 HTTP 请求，利用此缺陷绕过身份验证并访问敏感信息。(CVE-2017-6413 )

mod_auth_openidc 处理错误页面的方式中发现文本注入缺陷。攻击者可以通过诱骗用户打开特制的 URL，利用此缺陷执行内容伪造和钓鱼攻击。(CVE-2017-6059) 发现 mod_auth_openidc 没有对某些请求路径妥善审查 HTTP 标头。远程攻击者可能通过发送构建的 HTTP 请求，利用此缺陷绕过身份验证并访问敏感信息。(CVE-2017-6413)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
131416	NewStart CGSL CORE 5.04 / MAIN 5.04：mod_auth_openidc 中存在多个漏洞 (NS-SA-2019-0220)	Nessus	NewStart CGSL Local Security Checks	2019/12/2	2021/1/14	high
180841	Oracle Linux 7：mod_auth_openidc (ELSA-2019-2112)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
127674	RHEL 7 : mod_auth_openidc (RHSA-2019:2112)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/11/6	high
128242	Scientific Linux 安全更新：SL7.x x86_64 上的 mod_auth_penidc	Nessus	Scientific Linux Local Security Checks	2019/8/27	2024/5/1	high
128354	CentOS 7：mod_auth_openidc (CESA-2019:2112)	Nessus	CentOS Local Security Checks	2019/8/30	2024/4/30	high
129570	Amazon Linux AMI : mod24_auth_openidc (ALAS-2019-1300)	Nessus	Amazon Linux Local Security Checks	2019/10/4	2024/4/19	high
130225	Amazon Linux 2 : mod_auth_openidc (ALAS-2019-1329)	Nessus	Amazon Linux Local Security Checks	2019/10/25	2024/4/17	high

检测

插件搜索

high

high

high

high

high

high

high