Erratum：錯誤版本。lemonldap-ng 開發人員發現一個攻擊向量。當啟用 SAML 或 CAS 服務提供者並且系統管理員選擇將 SAML/CAS 權杖儲存在工作階段資料庫中時，攻擊者可以開啟匿名工作階段以連線到沒有特定存取規則的任何受保護的應用程式。針對 Debian 8「Jessie」，此問題已在 1.3.3-1+deb9u1 版本中修正。建議您升級 lemonldap-ng 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，如果啟用 'tokenUseGlobalStorage' 選項，則 Lemonldap::NG Web SSO 系統對工作階段權杖的驗證不足，可將匿名工作階段的存取權授與有權存取主工作階段資料庫的使用者。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - LemonLDAP::NG -2.0.3 具有不正確的存取控制權。 (CVE-2019-12046)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Lemonldap::NG web SSO 系统中发现，如果启用了“tokenUseGlobalStorage”选项，则对会话令牌执行的验证不足，可能会授予用户进入匿名会话主会话数据库的访问权限。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - LemonLDAP::NG -2.0.3 具有错误的访问控制。 (CVE-2019-12046)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

勘误：错误版本 lemonldap-ng 开发人员发现一个攻击向量。当启用了 SAML 或 CAS 服务提供程序，且管理员选择在会话数据库中存储 SAML/CAS 令牌时，攻击者可能会打开匿名会话，从而连接到没有特定访问权限规则的任意受保护应用程序。对于 Debian 8“Jessie”，此问题已在 1.3.3-1~deb9u1 版本中修复。我们建议您升级 lemonldap-ng 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Erratum: 不良バージョン

lemonldap-ng開発者によって、攻撃ベクトルが見つかりました。SAMLまたはCASサービスプロバイダーが有効で、管理者がSAML/CASトークンをセッションデータベースに保存することを選択した場合、攻撃者が匿名セッションを開いて、具体的なアクセスルールを持たない保護されたアプリケーションに接続する可能性があります。

Debian 8「Jessie」では、この問題はバージョン1.3.3-1+deb89u1で修正されました。

lemonldap-ngパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Lemonldap::NG Web SSOシステムが、「tokenUseGlobalStorage」オプションが有効になっている場合、セッショントークンの検証を十分に実施しないことが判明しました。これにより、メインセッションのアクセス権を持つユーザーに、匿名セッションのデータベースアクセス権が付与される可能性がありました。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - LemonLDAP::NG -2.0.3 には不適切なアクセスコントロールがあります。CVE-2019-12046

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Erratum: bad versions

An attack vector was discovered by lemonldap-ng developers. When the SAML or CAS service provider is enable and the administrator has chosen to store SAML/CAS tokens in the session database, an attacker can open an anonymous session to connect to any protected application that does not have specific access rules.

For Debian 8 'Jessie', this problem has been fixed in version 1.3.3-1+deb9u1.

We recommend that you upgrade your lemonldap-ng packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that the Lemonldap::NG web SSO system performed insufficient validation of session tokens if the 'tokenUseGlobalStorage'option is enabled, which could grant users with access to the main session database access to an anonymous session.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - LemonLDAP::NG -2.0.3 has Incorrect Access Control. (CVE-2019-12046)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
125266	Debian DLA-1790-1：lemonldap-ng 安全性更新	Nessus	Debian Local Security Checks	5/20/2019	5/21/2024	critical
125097	Debian DSA-4446-1：lemonldap-ng - 安全性更新	Nessus	Debian Local Security Checks	5/15/2019	5/22/2024	critical
252481	Linux Distros 未修補的弱點：CVE-2019-12046	Nessus	Misc.	8/20/2025	7/24/2026	critical
125097	Debian DSA-4446-1：lemonldap-ng - 安全更新	Nessus	Debian Local Security Checks	5/15/2019	5/22/2024	critical
252481	Linux Distros 未修补的漏洞：CVE-2019-12046	Nessus	Misc.	8/20/2025	7/24/2026	critical
125266	Debian DLA-1790-1：lemonldap-ng 安全更新	Nessus	Debian Local Security Checks	5/20/2019	5/21/2024	critical
125266	DebianDLA-1790-1: lemonldap-ngのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	5/20/2019	5/21/2024	critical
125097	DebianDSA-4446-1: Lemonldap-ng - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	5/15/2019	5/22/2024	critical
252481	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12046	Nessus	Misc.	8/20/2025	7/24/2026	critical
125266	Debian DLA-1790-1 : lemonldap-ng security update	Nessus	Debian Local Security Checks	5/20/2019	5/21/2024	critical
125097	Debian DSA-4446-1 : lemonldap-ng - security update	Nessus	Debian Local Security Checks	5/15/2019	5/22/2024	critical
252481	Linux Distros Unpatched Vulnerability : CVE-2019-12046	Nessus	Misc.	8/20/2025	7/24/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical