Podatność implementacji standardu SAML

utworzone przez | lut 28, 2018 | Aktualizacje, Podatności

Firma Duo Security poinformowała o podatności implementacji standardu SAML (Security Assertion Markup Language) – języka opartego na XML, służącego do wymiany danych o uwierzytelnianiu i autoryzacji.

Podatność umożliwia zalogowanie się jako inny użytkownik przez wykorzystanie komentarzy wewnątrz kodu. Podatne są następujące biblioteki implementujące SAML (w nawiasie CVE dla danej implementacji):

  • OneLogin – python-saml (CVE-2017-11427)
  • OneLogin – ruby-saml (CVE-2017-11428)
  • Clever – saml2-js (CVE-2017-11429)
  • OmniAuth-SAML (CVE-2017-11430)
  • Shibboleth (CVE-2018-0489)
  • Duo Network Gateway (CVE-2018-7340)

Badacze nie wykluczają, że podatne mogą być inne implementacje SAML. Wytwórcy powyższych bibliotek opublikowali już poprawki – CERT PSE zaleca ich instalację.

Pełny techniczny opis podatności: https://duo.com/blog/duo-finds-saml-vulnerabilities-affecting-multiple-implementations (28.02.2018)

Informacja CERT/CC VU#475445:  https://www.kb.cert.org/vuls/id/475445 (28.02.2018)