Säkerhetsbulletin från Debian

DSA-4127-1 simplesamlphp -- säkerhetsuppdatering

Rapporterat den:
2018-03-02
Berörda paket:
simplesamlphp
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 889286.
I Mitres CVE-förteckning: CVE-2017-12867, CVE-2017-12869, CVE-2017-12873, CVE-2017-12874, CVE-2017-18121, CVE-2017-18122, CVE-2018-6519, CVE-2018-6521, CVE-2018-7644.
Ytterligare information:

Flera sårbarheter har upptäckts i SimpleSAMLphp, ett ramverk för autentisering, primärt via SAML-protokollet.

  • CVE-2017-12867

    Angripare med åtkomst till en hemlig token kunde utöka dess giltighetsperiod genom att manipulera den förutbestämda tidsförskjutningen.

  • CVE-2017-12869

    Vid användning av multiauth-modulen kan angripare förbigå autentiseringkontextbegränsningar och använda alla autentiseringskällor som finns i konfigurationen.

  • CVE-2017-12873

    Defensiva åtgärder har tagits för att förhindra administratören från att felkonfigurera bestående NameIDs för att undvika identifierarkonflikter. (Påverkar endast Debian 8 Jessie).

  • CVE-2017-12874

    InfoCardmodulen kunde i sällsynta fall acceptera felaktigt signerade XML-meddelanden.

  • CVE-2017-18121

    consentAdmin-modulen var sårbar för en ett sajtöverskridande skriptangrepp, som tillåter en angripare att skapa länkar som kunde exekvera godtycklig JavaScript-kod i offrets webbläsare.

  • CVE-2017-18122

    (Den utfasade) SAML 1.1-implementationen kunde anta att alla icke signerade SAML-svar som innehöll mer än ett signerat antagande som giltiga, förutsatt att signaturen från minst ett antagande var giltigt, vilket tillåter en angripare som kunde gå ett giltigt signerat antagande från en IdP att personifiera användare från denna IdP.

  • CVE-2018-6519

    Överbelastning i reguljära uttryck vid tolkning av extraordinärt långa tidsstämplar.

  • CVE-2018-6521

    Ändra sqlauth modul MySQL teckenuppsättning från utf8 till utf8mb för att förhindra teoretisk förfrågeavklippning som kunde tillåta fjärrangripare att förbigå avsedda åtkomstbegränsningar.

  • CVE-2018-7644

    Kritisk signaturvalideringssårbarhet.

För den gamla stabila utgåvan (Jessie) har dessa problem rättats i version 1.13.1-2+deb8u1.

För den stabila utgåvan (Stretch) har dessa problem rättats i version 1.14.11-1+deb9u1.

Vi rekommenderar att ni uppgraderar era simplesamlphp-paket.

För detaljerad säkerhetsstatus om simplesamlphp vänligen se dess säkerhetsspårare på https://security-tracker.debian.org/tracker/simplesamlphp