Shibboleth consortium reports :

Shibboleth SP software vulnerable to additional data forgery flaws

The XML processing performed by the Service Provider software has been found to be vulnerable to new flaws similar in nature to the one addressed in an advisory last month.

These bugs involve the use of other XML constructs rather than entity references, and therefore required additional mitigation once discovered. As with the previous issue, this flaw allows for changes to an XML document that do not break a digital signature but can alter the user data passed through to applications behind the SP and result in impersonation attacks and exposure of protected information.

As before, the use of XML Encryption is a significant mitigation, but we have not dismissed the possibility that attacks on the Response 'envelope' may be possible, in both the original and this new case. No actual attacks of this nature are known, so deployers should prioritize patching systems that expect to handle unencrypted SAML assertions.

An updated version of XMLTooling-C (V1.6.4) is available that protects against these new attacks, and should help prevent similar vulnerabilities in the future.

Unlike the previous case, these bugs are NOT prevented by any existing Xerces-C parser version on any platform and cannot be addressed by any means other than the updated XMLTooling-C library.

The Service Provider software relies on a generic XML parser to process SAML responses and there are limitations in older versions of the parser that make it impossible to fully disable Document Type Definition (DTD) processing.

Through addition/manipulation of a DTD, it's possible to make changes to an XML document that do not break a digital signature but are mishandled by the SP and its libraries. These manipulations can alter the user data passed through to applications behind the SP and result in impersonation attacks and exposure of protected information.

While newer versions of the xerces-c3 parser are configured by the SP into disallowing the use of a DTD via an environment variable, this feature is not present in the xerces-c3 parser before version 3.1.4, so an additional fix is being provided now that an actual DTD exploit has been identified. Xerces-c3-3.1.4 was committed to the ports tree already on 2016-07-26.

This update for xmltooling fixes the following issues :

  - CVE-2018-0489: Fixed a security bug when xmltooling     mishandled digital signatures of user data, which allows     remote attackers to obtain sensitive information or     conduct impersonation attacks via crafted XML data.
    NOTE: this issue exists because of an incomplete fix for     CVE-2018-0486. (bsc#1083247)

This update was imported from the SUSE:SLE-12-SP1:Update update project.

このxmltoolingの更新では、次の問題が修正されます：

  - CVE-2018-0489：リモート攻撃者が、細工されたXMLデータを介して、機密情報を取得したり、なりすまし攻撃を仕掛けたりする可能性がある、xmltoolingがユーザーデータのデジタル署名を誤って処理した場合のセキュリティバグを修正しました。
    注：この問題はCVE-2018-0486の修正が不完全なために存在します。（bsc#1083247）

この更新はSUSEからインポートされました：SLE-12-SP1：更新プロジェクトを更新します。

Kelby Ludwig and Scott Cantor discovered that the Shibboleth service provider is vulnerable to impersonation attacks and information disclosure due to incorrect XML parsing. For additional details please refer to the upstream advisory at https://shibboleth.net/community/advisories/secadv_20180227.txt

Kelby Ludwig氏とScott Cantor氏は、不適切なXML解析が原因で、Shibbolethサービスプロバイダーがスプーフィング攻撃および情報漏洩に脆弱であることを発見しました。詳細については、https://shibboleth.net/community/advisories/secadv_20180227.txtのupstreamアドバイザリを参照してください

Shibboleth consortium による報告：

その他のデータ偽造に対するShibboleth SPソフトウェアの脆弱性の欠陥

サービスプロバイダーソフトウェアによって実行されるXML処理は、先月、アドバイザリで対処されたものと同様の性質であり、新しい欠陥に対して脆弱であることが判明しました。

これらのバグは、エンティティ参照ではなく他のXML構造の使用を伴うため、発見された場合は追加の緩和策が必要でした。以前の問題と同様に、この欠陥により、XMLドキュメントが変更される可能性があります。これにより、デジタル署名が破られることはありませんが、SPの背後のアプリケーションに渡されるユーザーデータが変更され、なりすまし攻撃や保護された情報の漏洩が発生する可能性があります。

以前と同様に、XML暗号化の使用は重要な緩和策ですが、元のケースとこの新しいケースの両方で、応答「エンベロープ」に対する攻撃が可能になる可能性を否定できません。この性質の実際の攻撃は知られていないため、実装者は、暗号化されていないSAMLアサーションを処理することが期待されるパッチ適用システムを優先する必要があります。

これらの新しい攻撃から保護するXMLTooling-C（V1.6.4）の更新バージョンが利用可能であり、今後同様の脆弱性の防止に役立つはずです。

以前のケースとは異なり、これらのバグは、どのプラットフォームでも既存のXerces-Cパーサーバージョンでは防止されず、最新のXMLTooling-Cライブラリ以外では対処できません。

このサービスプロバイダーソフトウェアは、SAML応答の処理を汎用XMLパーサーに依存しており、このパーサーの古いバージョンには、Document Type Definition（DTD）処理を完全に無効にできないという制限があります。

DTDの追加/操作によってXMLドキュメントに変更を加えることができます。この変更は、デジタル署名を破ることはありませんが、SPおよびそのライブラリによって不適切に処理されます。このような操作により、SPの背後のアプリケーションに渡されるユーザーデータが変更され、なりすまし攻撃や保護された情報の漏洩が発生する可能性があります。

xerces-c3パーサーの新しいバージョンは、環境変数を介したDTDの使用を許可しないようSPによって構成されていますが、この機能はバージョン3.1.4以前のxerces-c3パーサーには存在しないため、実際のDTDの悪用が特定された現在、追加の修正が提供されています。Xerces-c3-3.1.4はすでに2016-07-26にポートツリーにコミットされました。

Kelby Ludwig 和 Scott Cantor 发现由于未正确解析 XML，Shibboleth 服务提供商容易受到冒充攻击和信息泄露的影响。如需更多详细信息，请参阅上游公告：https://shibboleth.net/community/advisories/secadv_20180227.txt

遠端主機上安裝的 Shibboleth Service Provider 版本是比 2.6 舊的 2.0 版。因此會受到一個使用者屬性偽造問題的影響，其可允許攻擊者模擬有效使用者並取得敏感資訊的存取權。請注意：雖然比 2.6 新的版本沒有弱點，但是 2.6.1.4 含有受影響程式庫 (XMLTooling-C) 的修補程式，並且是廠商建議的版本。

The version of Shibboleth Service Provider installed on the remote host is version 2.0 prior to 2.6. As a result it is affected by a user attribute forgery issue which could allow an attacker to impersonate a valid user and gain access to sensitive information.

Note: Though versions higher than 2.6 are not vulnerable, 2.6.1.4 contains a patch for the affected library (XMLTooling-C) and is recommended by the vendor.

This update for xmltooling fixes the following issues :

  - CVE-2018-0489: Fixed a security bug when xmltooling     mishandled digital signatures of user data, which allows     remote attackers to obtain sensitive information or     conduct impersonation attacks via crafted XML data.
    NOTE: this issue exists because of an incomplete fix for     CVE-2018-0486. (bsc#1083247)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

远程主机上安装的 Shibboleth Service Provider 版本为低于 2.6 的 2.0。因而会受用户属性伪造问题的影响，此问题可使攻击者模拟有效用户，并获得敏感信息的访问权。注意：虽然高于 2.6 的版本不易受影响，但版本 2.6.1.4 中包含一个针对受影响库 (XMLTooling-C) 的修补程序，此程序亦为供应商所推荐。

Kelby Ludwig 和 Scott Cantor 發現 Shibboleth service provider 容易受到假冒攻擊和發生資訊洩漏，這是因為 XML 剖析錯誤所致。如需其他詳細資訊，請參閱上游公告：https://shibboleth.net/community/advisories/secadv_20180227.txt

このxmltoolingの更新では、次の問題が修正されます：

  - CVE-2018-0489：リモート攻撃者が、細工されたXMLデータを介して、機密情報を取得したり、なりすまし攻撃を仕掛けたりする可能性がある、xmltoolingがユーザーデータのデジタル署名を誤って処理した場合のセキュリティバグを修正しました。
    注：この問題はCVE-2018-0486の修正が不完全なために存在します。（bsc#1083247）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているShibboleth Service Providerのバージョンは、2.6より前のバージョン2.0です。その結果、ユーザー属性の偽造による影響を受け、攻撃者が有効なユーザーになりすまして秘密情報にアクセスする可能性があります。

注:2.6より上位のバージョンは脆弱ではありませんが、2.6.1.4には影響を受けるライブラリ（XMLTooling-C）用のパッチが含まれており、ベンダーが推奨しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
107042	FreeBSD : shibboleth-sp -- vulnerable to forged user attribute data (22438240-1bd0-11e8-a2ec-6cc21735f730)	Nessus	FreeBSD Local Security Checks	2018/2/28	2018/11/10	medium
108440	openSUSE Security Update : xmltooling (openSUSE-2018-276)	Nessus	SuSE Local Security Checks	2018/3/19	2021/1/19	medium
108440	openSUSEセキュリティ更新プログラム：xmltooling（openSUSE-2018-276）	Nessus	SuSE Local Security Checks	2018/3/19	2021/1/19	medium
107026	Debian DSA-4126-1 : xmltooling - security update	Nessus	Debian Local Security Checks	2018/2/28	2018/11/13	medium
107026	DebianDSA-4126-1：xmltooling - セキュリティ更新	Nessus	Debian Local Security Checks	2018/2/28	2018/11/13	medium
107042	FreeBSD： shibboleth-sp -- 偽造ユーザー属性データに対する脆弱性（22438240-1bd0-11e8-a2ec-6cc21735f730）	Nessus	FreeBSD Local Security Checks	2018/2/28	2018/11/10	medium
107026	Debian DSA-4126-1：xmltooling - 安全更新	Nessus	Debian Local Security Checks	2018/2/28	2018/11/13	medium
107267	Shibboleth 2.0 < 2.6 XMLTooling-C DTD 處理偽造弱點	Nessus	Windows	2018/3/9	2018/7/27	medium
107267	Shibboleth 2.0 < 2.6 XMLTooling-C DTD Processing Forgery Vulnerability	Nessus	Windows	2018/3/9	2018/7/27	medium
108451	SUSE SLES12 Security Update : xmltooling (SUSE-SU-2018:0720-1)	Nessus	SuSE Local Security Checks	2018/3/19	2019/9/10	medium
107267	Shibboleth 2.0 < 2.6 XMLTooling-C DTD 处理伪造漏洞	Nessus	Windows	2018/3/9	2018/7/27	medium
107026	Debian DSA-4126-1：xmltooling - 安全性更新	Nessus	Debian Local Security Checks	2018/2/28	2018/11/13	medium
108451	SUSE SLES12セキュリティ更新プログラム：xmltooling（SUSE-SU-2018:0720-1）	Nessus	SuSE Local Security Checks	2018/3/19	2019/9/10	medium
107267	Shibboleth 2.0<2.6 XMLTooling-C DTD処理偽造の脆弱性	Nessus	Windows	2018/3/9	2018/7/27	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium