Debians sikkerhedsbulletin

DSA-4127-1 simplesamlphp -- sikkerhedsopdatering

Rapporteret den:
2. mar 2018
Berørte pakker:
simplesamlphp
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 889286.
I Mitres CVE-ordbog: CVE-2017-12867, CVE-2017-12869, CVE-2017-12873, CVE-2017-12874, CVE-2017-18121, CVE-2017-18122, CVE-2018-6519, CVE-2018-6521, CVE-2018-7644.
Yderligere oplysninger:

Flere sårbarheder er opdaget i SimpleSAMLphp, et framework til autentifikation, primært gennem SAML-protokollen.

  • CVE-2017-12867

    Angribere med adgang til et hemmeligt token, kunne forlænge dets gyldighedsperiode, ved at manipulere med det foranstillede tidsforskydelse.

  • CVE-2017-12869

    Ved anvendelse af multiauth-modulet, kunne angribere omgå autentifikationskontaktbegrænsninger, og anvende en vilkårlig autentifikationskilde defineret i opsætningen.

  • CVE-2017-12873

    Der blev taget defensive foranstaltninger for at forhindre administratoren i at fejlopsætte vedvarende NameID'er, for at forhindre identifikationssammenfald (påvirker kun Debian 8 Jessie).

  • CVE-2017-12874

    Modulet InfoCard kunne i sjældne tilfælde acceptere ukorrekt signerede XML-meddelelser.

  • CVE-2017-18121

    Modulet consentAdmin var sårbart over for et angreb i forbindelse med udførelse af skripter på tværs af websteder, hvilket gjorde det muligt for en angriber at fabrikere links, der kunne udføre vilkårlig JavaScript-kode i offerets browser.

  • CVE-2017-18122

    Den (udfasede) implementering af SAML 1.1, betragtede som gyldige ethvert usignerede SAML-svar, som indeholder flere end en signeret assertion, forudsat at signaturen på mindst en af assertion'erne er gyldig, hvilket gjorde det muligt for en angriber, der er i stand til at få fat i en gyldig signeret assertion fra en IdP, at udgive sig for at være brugere fra den IdP.

  • CVE-2018-6519

    Lammelsesangreb i regulært udtræk, når der blev fortolket ekstraordinært lange tidsstempler.

  • CVE-2018-6521

    Ændrer sqlauth-modulets MySQL-tegnsæt fra utf8 til utf8mb, for at forhindre teoretisk query-trunkering, som kunne gøre det muligt fo fjernangribere at omgå tilsigtede adgangsbegrænsninger.

  • CVE-2018-7644

    Kritisk sårbarhed ved signaturvalidering.

I den gamle stabile distribution (jessie), er disse problemer rettet i version 1.13.1-2+deb8u1.

I den stabile distribution (stretch), er disse problemer rettet i version 1.14.11-1+deb9u1.

Vi anbefaler at du opgraderer dine simplesamlphp-pakker.

For detaljeret sikkerhedsstatus vedrørende simplesamlphp, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/simplesamlphp