Bulletin d'alerte Debian

DLA-1790-1 lemonldap-ng -- Mise à jour de sécurité pour LTS

Date du rapport :

18 mai 2019

Paquets concernés :

lemonldap-ng

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 928944.
Dans le dictionnaire CVE du Mitre : CVE-2019-12046.

Plus de précisions :

Un vecteur d'attaque a été découvert par les développeurs de lemonldap-ng. Lorsque le fournisseur de services SAML ou CAS est activé et que l'administrateur a choisi de stocker les jetons SAML/CAS dans la base de données de sessions, un attaquant peut ouvrir une session anonyme pour se connecter à toute application protégée ne disposant pas de règles d'accès spécifiques.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 1.3.3-1+deb9u1.

Nous vous recommandons de mettre à jour vos paquets lemonldap-ng.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.