Shibboleth Service Provider biztonsági sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Service Provider Release 2.6.1.4 előtti verziók
XMLTooling-C library 1.6.4 előtti verziók

Összefoglaló

A Shibboleth Service Providerben használt Shibboleth XMLTooling-C sérülékenysége vált ismertté, melyet kihasználva a távoli támadó érzékeny információkhoz juthat hozzá. 

Leírás

A Shibboleth Service Providerben használt Shibboleth XMLTooling-C nem megfelelően kezeli az XML alapú digitális aláírást. Ennek kihasználásával egy távoli felhasználó speciálisan formázott XML beküldésével képes lehet más felhasználók érzékeny információihoz hozzáférni a célrendszeren. 

Megoldás

Megoldás

A Shibboleth Konzorcium megerősítette a sérülékenységet és kiadta a szoftverfrissítéseket:

• https://shibboleth.net/downloads/service-provider/2.6.1/
• https://shibboleth.net/downloads/c++-opensaml/2.6.1/

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: shibboleth.net
Egyéb referencia: tools.cisco.com
CVE-2018-0489 - NVD CVE-2018-0489