Bulletin d'alerte Debian

DLA-3409-1 libapache2-mod-auth-openidc -- Mise à jour de sécurité pour LTS

Date du rapport :
30 avril 2023
Paquets concernés :
libapache2-mod-auth-openidc
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 991580, Bogue 991581, Bogue 991582, Bogue 991583, Bogue 1033916.
Dans le dictionnaire CVE du Mitre : CVE-2019-20479, CVE-2021-32785, CVE-2021-32786, CVE-2021-32791, CVE-2021-32792, CVE-2023-28625.
Plus de précisions :

Plusieurs vulnérabilités ont été corrigées dans libapache2-mod-auth-openidc, une implémentation de OpenID Connect Relying Party pour Apache.

  • CVE-2019-20479

    Validation insuffisante d’URL commençant par une oblique ou une contre-oblique.

  • CVE-2021-32785

    Plantage lors de l’utilisation d’un cache Redis non chiffré.

  • CVE-2021-32786

    Vulnérabilité de redirection ouverte dans la fonction logout.

  • CVE-2021-32791

    Chiffrement AES GCM utilisé dans static IV et AAD.

  • CVE-2021-32792

    Vulnérabilité de script intersite (XSS) lors de l’utilisation de OIDCPreservePost.

  • CVE-2023-28625

    Déréférencement de pointeur NULL avec OIDCStripCookies.

Pour Debian 10 Buster, ces problèmes ont été corrigés dans la version 2.3.10.2-1+deb10u2.

Nous vous recommandons de mettre à jour vos paquets libapache2-mod-auth-openidc.

Pour disposer d'un état détaillé sur la sécurité de libapache2-mod-auth-openidc, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/libapache2-mod-auth-openidc.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.