出典：Red Hatセキュリティアドバイザリ2019:0766：mod_auth_mellonの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache HTTPサーバー用のmod_auth_mellonモジュールは、SAML 2.0フェデレーションプロトコルを実装する認証サービスです。このモジュールは、IdPサーバーで生成されたアサーションで受信した属性に基づいてアクセスを許可します。セキュリティ修正プログラム：* mod_auth_mellon：ECPフローの認証バイパス（CVE-2019-3878）* mod_auth_mellon：バックスラッシュを含むURLの使用中にログアウトURLでリダイレクトを開く（CVE-2019-3877）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* ホスト名に数字が含まれていると、mod_auth_mellon証明書ファイル名が無効（アップストリームパッケージで修正済み）（BZ#1697487）

mod_auth_mellonの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache HTTPサーバー用のmod_auth_mellonモジュールは、SAML 2.0フェデレーションプロトコルを実装する認証サービスです。このモジュールは、IdPサーバーで生成されたアサーションで受信した属性に基づいてアクセスを許可します。セキュリティ修正プログラム：* mod_auth_mellon：ECPフローの認証バイパス（CVE-2019-3878）* mod_auth_mellon：バックスラッシュを含むURLの使用中にログアウトURLでリダイレクトを開く（CVE-2019-3877）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* ホスト名に数字が含まれていると、mod_auth_mellon証明書ファイル名が無効（アップストリームパッケージで修正済み）（BZ#1697487）

リモートのUbuntu 16.04LTSホストには、USN-4597-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.13.1以前のmod_auth_mellonは、クロスサイトセッション転送攻撃に対して脆弱です。この攻撃では、サーバーで実行されている1つのWebサイトにアクセスできるユーザーが、セッションクッキーを同じサーバー上の別のWebサイトにコピーして、そのサイトへのアクセス権を取得できます。 ( CVE-2017-6807)

  - v0.14.2以前のmod_auth_mellonに脆弱性が見つかりました。ログアウトURLのオープンリダイレクトによって、バックスラッシュを含むリクエストが、相対URLであると仮定されて通過する可能性がありますが、ブラウザーはバックスラッシュ文字を絶対URLとして処理するフォワードスラッシュに警告なしに変換します。この不一致により、攻撃者がapr_uri_parse関数のリダイレクトURL検証ロジックをバイパスする可能性があります。 (CVE-2019-3877)

  - v0.14.2以前のmod_auth_mellonに脆弱性が見つかりました。Apacheがリバースプロキシとして設定されており、mod_auth_mellonが認証されたユーザーのみを通過させるように設定されている場合 (require valid-userディレクティブを使用) 、特別なSAML ECP (非ブラウザーベース) の起動に通常使用される特別なHTTPヘッダーが追加されて、認証がバイパスされる可能性があります。 (CVE-2019-3878)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - v0.14.2 以前の mod_auth_mellon に脆弱性が見つかりました。ログアウト URL のオープンリダイレクトによって、バックスラッシュを含むリクエストが、相対 URL であると仮定されて通過する可能性がありますが、ブラウザーはバックスラッシュ文字を絶対 URL として処理するフォワードスラッシュに警告なしに変換します。この不一致により、攻撃者が apr_uri_parse 関数のリダイレクト URL 検証ロジックをバイパスする可能性があります。(CVE-2019-3877)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

來自 Red Hat 安全公告 2019:0766： 現已提供適用於 Red Hat Enterprise Linux 7 的 mod_auth_mellon 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。 安全性修正： * mod_auth_mellon：ECP 流程中的驗證繞過 (CVE-2019-3878) * mod_auth_mellon：使用帶反斜線的 URL 時，登出 URL 中的開放重新定向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、確認及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。 錯誤修正： * 主機名稱含有數字時，mod_auth_mellon Cert 檔案名稱錯誤（已於上游套件修正） (BZ#1697487)

現已提供適用於 Red Hat Enterprise Linux 7 的 mod_auth_mellon 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。安全性修正：* mod_auth_mellon：ECP 流程中的驗證繞過 (CVE-2019-3878) * mod_auth_mellon：使用含反斜線 URL 時的登出 URL 中的開放重新導向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 主機名稱含有數字時，mod_auth_mellon Cert 檔案名稱錯誤 (已於上游封包修正) (BZ#1697487)

現已提供適用於 Red Hat Enterprise Linux 8 的 mod_auth_mellon 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。適用於 Apache HTTP Server 的 mod_auth_mellon 模組是實作 SAML 2.0 同盟通訊協定的驗證服務。該模組依據所收到的屬性 (IdP 伺服器產生的宣告中) 授予存取權限。安全性修正：* mod_auth_mellon：使用含反斜線 URL 時的登出 url 中的開放重新導向 (CVE-2019-3877) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 8.1 版本資訊。

據發現，mod_auth_mellon 未正確處理某些要求。攻擊者可能會利用此問題，將使用者重新導向至惡意 URL。(CVE-2019-3877)

據發現，mod_auth_mellon 未正確處理某些要求。攻擊者可能利用此問題存取敏感資訊。(CVE-2019-3878)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS 主機上安裝的一個套件受到 USN-4597-1 公告中所提及的多個弱點影響。

  - 0.13.1 版之前的 mod_auth_mellon 容易受到跨網站工作階段傳輸攻擊，可存取伺服器上正在執行的一個網站的使用者可將其工作階段 Cookie 複製到相同伺服器上的不同網站，從而取得該網站的存取權。(CVE-2017-6807)

  - 在 mod_auth_mellon v0.14.2 之前版本中發現一個弱點。登出 URL 的開放重新導向允許具有反斜線的要求透過假設它是相對 URL 來通過，而瀏覽器會默默地將反斜線字元轉換為將其視為絕對 URL 的正斜線。此錯誤匹配可讓攻擊者在 apr_uri_parse 函式中繞過重新導向 URL 驗證邏輯。(CVE-2019-3877)

  - 在 mod_auth_mellon v0.14.2 之前版本中發現一個弱點。如果 Apache 設定為反向 proxy，而 mod_auth_mellon 設定為僅允許經驗證的使用者通過 (需要有效的使用者指示詞)，則透過新增通常用來啟動特殊 SAML ECP (非瀏覽器型) 的特殊 HTTP 標頭可繞過驗證。(CVE-2019-3878)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 mod_auth_mellon v0.14.2 之前版本中發現一個弱點。登出 URL 的開放重新導向允許具有反斜線的要求透過假設它是相對 URL 來通過，而瀏覽器會默默地將反斜線字元轉換為將其視為絕對 URL 的正斜線。此錯誤匹配可讓攻擊者在 apr_uri_parse 函式中繞過重新導向 URL 驗證邏輯。(CVE-2019-3877)

請注意，Nessus 依賴供應商報告的套件存在。

mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。安全修复：* mod_auth_mellon：使用具有反斜线的 URL 时，在注销 url 中开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

发现 mod_auth_mellon 未能正确处理某些请求。攻击者可能会利用此问题，将用户重定向至恶意 URL。(CVE-2019-3877)

发现 mod_auth_mellon 未能正确处理某些请求。攻击者可能利用此问题访问敏感信息。(CVE-2019-3878)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

来自 Red Hat 安全公告 2019:0766： mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。 安全补丁： * mod_auth_mellon：ECP 流中的身份验证绕过 (CVE-2019-3878) * mod_auth_mellon：使用带反斜杠的 URL 时，注销 URL 中的开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 缺陷补丁： * 主机名含有数字时，mod_auth_mellon Cert 文件名错误（已于上游程序包修复） (BZ#1697487)

mod_auth_mellon 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。适用于 Apache HTTP Server 的 mod_auth_mellon 模块是实施 SAML 2.0 联合协议的验证服务。该模块依据在由 IdP 服务器所产生之断言中所收到的属性授予访问权限。安全修复：* mod_auth_mellon：ECP 流中身份验证绕过 (CVE-2019-3878) * mod_auth_mellon：使用具有反斜线的 URL 时，在注销 url 中开放重定向 (CVE-2019-3877) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 主机名含有数字时，mod_auth_mellon Cert 文件名错误（已于上游程序包修复）(BZ#1697487)

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4597-1 公告中提及的多个漏洞的影响。

  - mod_auth_mellon 0.13.1 之前版本容易受到跨站会话传输攻击，对服务器上运行的某个网站具有访问权限的用户可借此将其会话 Cookie 复制到相同服务器的不同网站上，从而获取该站点的访问权限。(CVE-2017-6807)

  - 在 mod_auth_mellon v0.14.2 之前版本中发现漏洞，其中注销 URL 的开放重定向允许具有反斜线的请求通过假设它是相对 URL 来通过，而浏览器会默默地将反斜线字符转换为将其视为绝对 URL 的正斜线。此错配可让攻击者在 apr_uri_parse 函数中绕过重定向 URL 验证逻辑。(CVE-2019-3877)

  - 在 mod_auth_mellon v0.14.2 之前版本中发现漏洞。如果 Apache 配置为反向 proxy 而 mod_auth_mellon 配置为仅允许通过经身份验证的用户（利用所需的有效用户指令），添加通常用于启动特殊 SAML ECP（非浏览器型）的特殊 HTTP 标头可用来绕过身份验证。(CVE-2019-3878)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 mod_auth_mellon v0.14.2 之前版本中发现漏洞，其中注销 URL 的开放重定向允许具有反斜线的请求通过假设它是相对 URL 来通过，而浏览器会默默地将反斜线字符转换为将其视为绝对 URL 的正斜线。此错配可让攻击者在 apr_uri_parse 函数中绕过重定向 URL 验证逻辑。(CVE-2019-3877)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
124097	Oracle Linux 7：mod_auth_mellon（ELSA-2019-0766）	Nessus	Oracle Linux Local Security Checks	2019/4/17	2025/3/11	high
124099	RHEL 7：mod_auth_mellon（RHSA-2019:0766）	Nessus	Red Hat Local Security Checks	2019/4/17	2025/3/11	high
141824	Ubuntu16.04LTS: mod_auth_mellonの脆弱性 (USN-4597-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2025/2/20	high
222885	Linux Distros のパッチ未適用の脆弱性: CVE-2019-3877	Nessus	Misc.	2025/3/4	2025/8/27	medium
124097	Oracle Linux 7：mod_auth_mellon (ELSA-2019-0766)	Nessus	Oracle Linux Local Security Checks	2019/4/17	2025/3/11	high
124099	RHEL 7：mod_auth_mellon (RHSA-2019:0766)	Nessus	Red Hat Local Security Checks	2019/4/17	2025/3/11	high
130538	RHEL 8：mod_auth_mellon (RHSA-2019:3421)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/6	medium
123503	Ubuntu 18.04 LTS：mod_auth_mellon 弱點 (USN-3924-1)	Nessus	Ubuntu Local Security Checks	2019/3/29	2025/3/12	high
141824	Ubuntu 16.04 LTS：mod_auth_mellon 弱點 (USN-4597-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2025/2/20	high
222885	Linux Distros 未修補弱點：CVE-2019-3877	Nessus	Misc.	2025/3/4	2025/8/27	medium
130538	RHEL 8 : mod_auth_mellon (RHSA-2019:3421)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/6	medium
123503	Ubuntu 18.04 LTS：mod_auth_mellon 漏洞 (USN-3924-1)	Nessus	Ubuntu Local Security Checks	2019/3/29	2025/3/12	high
124097	Oracle Linux 7：mod_auth_mellon (ELSA-2019-0766)	Nessus	Oracle Linux Local Security Checks	2019/4/17	2025/3/11	high
124099	RHEL 7：mod_auth_mellon (RHSA-2019:0766)	Nessus	Red Hat Local Security Checks	2019/4/17	2025/3/11	high
141824	Ubuntu 16.04 LTS：mod_auth_mellon 漏洞 (USN-4597-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2025/2/20	high
222885	Linux Distros 未修补的漏洞: CVE-2019-3877	Nessus	Misc.	2025/3/4	2025/8/27	medium

检测

插件搜索

high

high

high

medium

high

high

medium

high

high

medium

medium

high

high

high

high

medium