Af Torben B. Sørensen, 28/02/18
Sikkerhedsfirmaet Duo Security har opdaget en sårbarhed i håndteringen af XML-data i SAML (Security Assertion Markup Language). Sårbarheden medfører, at det i nogle tilfælde er muligt at optræde som en bruger, hvis indlogning er godkendt.
Disse produkter er sårbare:
- OneLogin - python-saml - CVE-2017-11427
- OneLogin - ruby-saml - CVE-2017-11428
- Clever - saml2-js - CVE-2017-11429
- OmniAuth-SAML - CVE-2017-11430
- Shibboleth - CVE-2018-0489
- Duo Network Gateway - CVE-2018-7340
Den software, som DeiCs tjeneste WAYF (Where Are You From) anvender, er ikke sårbar.
Fejlen ligger i den måde, programmer parser XML-indhold på. Funktionen XML canonicalization gør det muligt, at to forskellige XML-dokumenter kan have den samme digitale signatur. Det skyldes, at signaturen kan beregnes ud fra data, hvor betydningsløse elementer (såsom kommentarer) er fjernet.
En angriber kan udnytte sårbarheden ved at indsætte en kommentar et bestemt sted i SAML-dokumentet.
Derefter kan angriberen optræde som den indloggede bruger, uden at kende vedkommendes password.
Anbefaling
Opdater til en rettet version af den berørte software.
Links
- Duo Finds SAML Vulnerabilities Affecting Multiple Implementations
- XM-hell strikes single-sign-on systems: Bugs allow miscreants to masquerade as others, artikel fra The Register
- SAML protocol bug let hackers log in as other users, artikel fra ZDNet
- Widespread Vulnerability Found in Single-Sign-On Products, artikel fra SecurityWeek
- SAML Vulnerability Lets Attackers Log in as Other Users, artikel fra Bleeping Computer