远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4155 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4155-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Moritz Schlarb 2025 年 5 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包libapache2-mod-auth-openidc 版本2.4.9.4-0+deb11u6 CVE ID CVE-2025-3891 Debian 缺陷1104484

    已修复 mod_auth_openidc 中的一个漏洞Apache 2.x HTTP 服务器的 OpenID Certified 认证和授权模块可实现 OpenID Connect 依赖方功能。

    当 mod_auth_openidc 中启用了 OIDCPreservePost 时未经身份验证的攻击者可通过发送没有 Content-Type 标头的 POST 请求来导致 Apache httpd 进程崩溃。这会导致拒绝服务。

    变通方案是禁用 OIDCPreservePost 指令。

    对于 Debian 11 Bullseye已在版本 2.4.9.4-0+deb11u6 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    如需 libapache2-mod-auth-openidc 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2025:9396 公告中提及的一个漏洞影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10004 公告中提及的漏洞的影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10006 公告中提及的漏洞的影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10003 公告中提及的漏洞的影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:4597 公告中提及的漏洞的影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到 ALSA-2025:4597 公告中提及的漏洞的影响。

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5917 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5917-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 5 月 8 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包libapache2-mod-auth-openidc CVE ID CVE-2025-3891

    在用于实现 OpenID Connect 依赖方功能的 Apache HTTP 服务器的 OpenID Certified 认证和授权模块 mod_auth_openidc 中发现一个漏洞

    未经身份验证的攻击者可在启用“OIDCPreservePost”指令的情况下通过发送无 Content-Type 标头的 POST 请求造成 Apache httpd 进程崩溃进而导致拒绝服务。

    对于稳定发行版本 (bookbird)已在版本 2.4.12.3-2+deb12u4 中修复此问题。

    我们建议您升级 libapache2-mod-auth-openidc 程序包。

    如需 libapache2-mod-auth-openidc 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2025:10008 公告中提及的一个漏洞影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10010 公告中提及的漏洞的影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2025-9917:01 公告中提及的漏洞的影响。

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2025-4597 公告中提及的一个漏洞影响。

    cjose mod_auth_openidc [2.4.9.4-8]
    - 解决了 RHEL-87759 - 空 POST 通过 OIDCPreservePost造成崩溃

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的一个程序包受到 ELSA-2025-9396 公告中提及的一个漏洞影响。

    [2.4.10-1.el9_6.2] 解决了 RHEL-95948 - mod_auth_openidc在启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成 DoS (CVE-2025-3891)

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2025:10002 公告中提及的一个漏洞影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2025-10555:02 公告中提及的漏洞的影响。

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2025:10007 公告中提及的一个漏洞影响。

    mod_auth_openidc 是经 OpenID Connect 认证的 Apache HTTP 服务器的身份验证模块。它启用 Apache HTTP 服务器，以作为 OpenID Connect 依赖方和/或 OAuth 2.0 资源服务器运行。

    安全修复：

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机安装有程序包该程序包受到 ALSA-2025:9396 公告中提及的漏洞的影响。

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 9 主机上存在安装的程序包该程序包受到公告 RLSA-2025:9396 中提及的漏洞的影响。

    * mod_auth_openidc启用了 OIDCPreservePost 的 mod_auth_openidc 中通过空 POST 造成的 DoS (CVE-2025-3891)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Apache httpd 的 mod_auth_openidc 模块中发现一个缺陷。此缺陷允许未经身份验证的远程攻击者在启用了 OIDCPreservePost 指令的情况下通过发送空 POST 请求来触发拒绝服务。服务器持续崩溃从而影响可用性。
    (CVE-2025-3891)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
235597	Debian dla-4155libapache2-mod-auth-openidc - 安全更新	Nessus	Debian Local Security Checks	2025/5/8	2025/5/8	medium
240279	RHEL 9 : mod_auth_openidc (RHSA-2025:9396)	Nessus	Red Hat Local Security Checks	2025/6/23	2025/10/9	high
241024	RHEL 8：mod_auth_openidc:2.3 (RHSA-2025:10004)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
241027	RHEL 8：mod_auth_openidc:2.3 (RHSA-2025:10006)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
241029	RHEL 8：mod_auth_openidc:2.3 (RHSA-2025:10003)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
235447	RHEL 8：mod_auth_openidc:2.3 (RHSA-2025:4597)	Nessus	Red Hat Local Security Checks	2025/5/7	2025/6/5	high
235601	AlmaLinux 8 mod_auth_openidc:2.3 (ALSA-2025:4597)	Nessus	Alma Linux Local Security Checks	2025/5/8	2025/5/8	medium
235620	Debian dsa-5917libapache2-mod-auth-openidc - 安全更新	Nessus	Debian Local Security Checks	2025/5/9	2025/5/9	medium
241028	RHEL 9 : mod_auth_openidc (RHSA-2025:10008)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
241030	RHEL 8：mod_auth_openidc:2.3 (RHSA-2025:10010)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
283255	iracleLinux 8 mod_auth_openidc:2.3 安全补丁更新 (AXSA:2025-9917:01)	Nessus	Miracle Linux Local Security Checks	2026/1/13	2026/1/20	high
235472	Oracle Linux 8：mod_auth_openidc:2.3 (ELSA-2025-4597)	Nessus	Oracle Linux Local Security Checks	2025/5/7	2025/6/25	high
240437	Oracle Linux 9：mod_auth_openidc (ELSA-2025-9396)	Nessus	Oracle Linux Local Security Checks	2025/6/25	2025/6/25	high
241021	RHEL 9 : mod_auth_openidc (RHSA-2025:10002)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
283246	MagicLinux 9mod_auth_openidc-2.4.10-1.el9_6.2 (AXSA:2025-10555:02)	Nessus	Miracle Linux Local Security Checks	2026/1/13	2026/1/13	high
241025	RHEL 9 : mod_auth_openidc (RHSA-2025:10007)	Nessus	Red Hat Local Security Checks	2025/7/1	2025/7/1	high
241252	AlmaLinux 9mod_auth_openidc (ALSA-2025:9396)	Nessus	Alma Linux Local Security Checks	2025/7/3	2025/7/3	high
266566	RockyLinux 9mod_auth_openidc (RLSA-2025:9396)	Nessus	Rocky Linux Local Security Checks	2025/10/4	2025/10/4	high
251958	Linux Distros 未修补的漏洞：CVE-2025-3891	Nessus	Misc.	2025/8/19	2026/4/29	high

检测

插件搜索

medium

high

high

high

high

high

medium

medium

high

high

high

high

high

high

high

high

high

high

high