Shibboleth consortium reports :

Shibboleth SP software crashes on well-formed but invalid XML.

The Service Provider software contains a code path with an uncaught exception that can be triggered by an unauthenticated attacker by supplying well-formed but schema-invalid XML in the form of SAML metadata or SAML protocol messages. The result is a crash and so causes a denial of service.

You must rebuild opensaml and shibboleth with xmltooling-1.5.5 or later. The easiest way to do so is to update the whole chain including shibboleth-2.5.5 an opensaml2.5.5.

Shibboleth consortium 报告：

格式良好但无效的 XML 文档导致的 Shibboleth SP 软件崩溃。

服务提供程序软件包含带有一个未捕获异常的代码路径，可由未经认证的攻击者通过在 SAML 元数据或 SAML 协议消息的表单中提供格式良好但架构无效的 XML 文档来触发。其结果是造成崩溃并因此导致拒绝服务。

应采用 xmltooling-1.5.5 或更高版本重新构建 opensaml 和 shibboleth。最简单的方法是更新整个链，包括 shibboleth-2.5.5 和 opensaml2.5.5。

Shibboleth consortium 報告：

Shibboleth SP 軟體在格式正確但無效的 XML 上發生損毀。

Service Provider 軟體內含一個程式碼路徑，其中具有未攔截到的例外狀況，未經驗證的攻擊者可透過 SAML 詮釋資料或 SAML 通訊協定訊息形式，提供格式正確但配置無效的 XML，從而觸發此弱點。結果會導致當機，進而造成拒絕服務。

您必須使用 xmltooling-1.5.5 版或更新版本重新構建 opensaml 和 shibboleth。最簡單的方法是更新整個鏈結，包括 shibboleth-2.5.5 和 opensaml2.5.5。

Shibboleth コンソーシアムによる報告：

Shibboleth SP ソフトウェアが、形式は適切だが無効な XML で、クラッシュします。

サービスプロバイダーのソフトウェアには、捕捉されていない例外があるコードパスが含まれています。これは、認証されていない攻撃者が、形式は適格だがスキーマが無効の XML を SAML メタデータまたは SAML プロトコルメッセージの形式で提供することにより、発生することがあります。結果として、クラッシュが発生し、サービス拒否が引き起こされます。

xmltooling-1.5.5 または以降で opensaml および shibbolethor を再構築する必要があります。最も簡単な方法は、shibboleth-2.5.5 および opensaml2.5.5 が含まれているチェーン全体を、更新することです。

A denial of service vulnerability was found in the Shibboleth (an federated identity framework) Service Provider. When processing certain malformed SAML message generated by an authenticated attacker, the daemon could crash.

A denial of service vulnerability was found in the Shibboleth (an federated identity framework) Service Provider. When processing certain malformed SAML message generated by an authenticated attacker, the daemon could crash.

For the Debian 6 'Squeeze' distribution, this problem has been fixed in version 2.3.1+dfsg-5+deb6u1.

We recommend that you upgrade your shibboleth-sp2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

サービス拒否の脆弱性が、Shibboleth（連合アイデンティティフレームワーク）サービスプロバイダーで発見されました。認証されている攻撃者が生成した特定の無効な形式の SAML メッセージを処理するときに、デーモンがクラッシュする可能性があります。

サービス拒否の脆弱性が、Shibboleth（連合アイデンティティフレームワーク）サービスプロバイダーで発見されました。認証されている攻撃者が生成した特定の無効な形式の SAML メッセージを処理するときに、デーモンがクラッシュする可能性があります。

Debian 6「Squeeze」ディストリビューションでは、この問題はバージョン 2.3.1+dfsg-5+deb6u1 で修正されています。

お使いの shibboleth-sp2 パッケージをアップグレードすることをお勧めします。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

在 Shibboleth（一种联合身份框架）服务提供程序中发现拒绝服务漏洞。当处理由经认证的攻击者生成的特定畸形 SAML 消息时，后台程序可能崩溃。

在 Shibboleth（一种联合身份框架）服务提供程序中发现拒绝服务漏洞。当处理由经认证的攻击者生成的特定畸形 SAML 消息时，后台程序可能崩溃。

对于 Debian 6“Squeeze”发行版本，已在版本 2.3.1+dfsg-5+deb6u1 中修复此问题。

我们建议您升级 shibboleth-sp2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Shibboleth (同盟身分架構) Service Provider 中發現一個拒絕服務弱點。程序在處理由經驗證攻擊者產生之特定格式錯誤的 SAML 訊息時可能會當機。

在 Shibboleth (同盟身分架構) Service Provider 中發現一個拒絕服務弱點。程序在處理由經驗證攻擊者產生之特定格式錯誤的 SAML 訊息時可能會當機。

針對 Debian 6 ‘Squeeze’ 發行版本，此問題已在 2.3.1+dfsg-5+deb6u1 版本中修正。

建議您升級 shibboleth-sp2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
84995	FreeBSD : shibboleth-sp -- DoS vulnerability (b202e4ce-3114-11e5-aa32-0026551a22dc)	Nessus	FreeBSD Local Security Checks	2015/7/27	2021/1/6	medium
84995	FreeBSD：shibboleth-sp -- DoS 漏洞 (b202e4ce-3114-11e5-aa32-0026551a22dc)	Nessus	FreeBSD Local Security Checks	2015/7/27	2021/1/6	medium
84995	FreeBSD：shibboleth-sp -- DoS 弱點 (b202e4ce-3114-11e5-aa32-0026551a22dc)	Nessus	FreeBSD Local Security Checks	2015/7/27	2021/1/6	medium
84995	FreeBSD：shibboleth-sp -- DoS 脆弱性（b202e4ce-3114-11e5-aa32-0026551a22dc）	Nessus	FreeBSD Local Security Checks	2015/7/27	2021/1/6	medium
82304	Debian DSA-3207-1 : shibboleth-sp2 - security update	Nessus	Debian Local Security Checks	2015/3/30	2021/1/11	medium
84448	Debian DLA-259-1 : shibboleth-sp2 security update	Nessus	Debian Local Security Checks	2015/6/30	2021/1/11	medium
82304	Debian DSA-3207-1：shibboleth-sp2 - セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/30	2021/1/11	medium
84448	Debian DLA-259-1：shibboleth-sp2 セキュリティ更新	Nessus	Debian Local Security Checks	2015/6/30	2021/1/11	medium
82304	Debian DSA-3207-1：shibboleth-sp2 - 安全更新	Nessus	Debian Local Security Checks	2015/3/30	2021/1/11	medium
84448	Debian DLA-259-1：shibboleth-sp2 安全更新	Nessus	Debian Local Security Checks	2015/6/30	2021/1/11	medium
82304	Debian DSA-3207-1：shibboleth-sp2 - 安全性更新	Nessus	Debian Local Security Checks	2015/3/30	2021/1/11	medium
84448	Debian DLA-259-1：shibboleth-sp2 安全性更新	Nessus	Debian Local Security Checks	2015/6/30	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium