Hitachi · Hitachi Id Bravura Security Fabric · CVE-2021-3196
**Nome do software vulnerável e versões afetadas:
Hitachi ID Bravura Security Fabric, versões 11.0.0 a 11.1.3
Hitachi ID Bravura Security Fabric, versões 12.0.0 a 12.0.2
Hitachi ID Bravura Security Fabric, versão 12.1.0
Descrição:
Foi descoberta uma vulnerabilidade no Hitachi ID Bravura Security Fabric ao utilizar o gerenciamento de identidade federada, com autenticação via SAML por meio de um provedor de identidade de terceiros. Um invasor pode injetar dados adicionais em uma resposta SAML assinada que está sendo transmitida ao provedor de serviços. O aplicativo valida com sucesso os valores assinados, mas utiliza os valores maliciosos não assinados. Um invasor com acesso de privilégios mais baixos ao aplicativo pode injetar o `nome de usuário` de um usuário com privilégios elevados para se passar por esse usuário.
Recomendações:
Para as versões 11.0.0 a 11.1.3, considere desativar o gerenciamento de identidade federada via SAML até que um patch esteja disponível.
Para as versões 12.0.0 a 12.0.2, restrinja o acesso ao mecanismo de autenticação SAML para minimizar o risco de exploração.
Para a versão 12.1.0, evite usar a resposta SAML para autenticação até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.