PT-2020-16408 · Mattermost+1 · Xml-Roundtrip-Validator+1
Publicado
2020-12-28
·
Atualizado
2024-06-15
·
CVE-2020-26290
CVSS v3.1
9.3
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Dex anteriores à 2.27.0
Descrição
O problema afeta usuários que utilizam o conector SAML e permite uma possível contornamento da assinatura devido a falhas na codificação XML na biblioteca Go subjacente. Com um arquivo XML cuidadosamente elaborado, um invasor pode contornar completamente a validação da assinatura e fazer com que um arquivo alterado seja considerado como assinado. O problema surge devido ao comportamento do encoding/xml, onde um documento XML elaborado pode fazer com que a validação da Assinatura Digital XML seja totalmente contornada, fazendo com que um documento não assinado pareça assinado.
Recomendações
Para versões anteriores à 2.27.0, atualize para a versão 2.27.0 ou posterior, que corrige o problema usando o xml-roundtrip-validator do Mattermost. Além disso, os usuários do goxmldsig devem atualizar para a v1.1.0. Como solução alternativa temporária, considere restringir o uso do conector SAML até que a atualização seja aplicada.
Correção
Authentication Bypass by Spoofing
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Encoding/Xml
Xml-Roundtrip-Validator