PT-2020-17180 · Go+1 · Encoding/Xml Package+2

Publicado 2020-12-14 · Atualizado 2024-03-06 · CVE-2020-29509

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Pacote encoding/xml em Go (todas as versões)

Descrição

A vulnerabilidade permite que um invasor crie entradas que se comportam de maneira conflitante durante diferentes estágios de processamento em aplicativos downstream afetados. Isso pode fazer com que a validação da assinatura digital XML seja totalmente contornada, fazendo com que um documento não assinado pareça assinado. Dada uma resposta SAML válida, pode ser possível para um invasor alterar o documento XML, possibilitando ataques como o acesso de usuários a contas diferentes daquela na qual se autenticaram ou o contorno total da autenticação.

Recomendações

Para o pacote encoding/xml em Go, atualize para uma versão que inclua as correções necessárias, como a gosaml2 versão 0.6.0 ou superior, se aplicável ao seu caso de uso específico.

Como solução alternativa temporária, considere restringir o processamento de documentos XML para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-115

Identificadores relacionados

AZL-6448

AZL-78900

BIT-GOLANG-2020-29509

CVE-2020-29509

GHSA-XHQQ-X44F-9FGG

GO-2021-0060

OESA-2021-1011

Produtos afetados

Debian

Encoding/Xml Package

Gosaml2

Referências · 22

• https://github.com/russellhaering/gosaml2/commit/42606dafba60c58c458f14f75c4c230459672ab9 · Nota
• https://github.com/russellhaering/gosaml2/security/advisories/GHSA-xhqq-x44f-9fgg · Nota
• https://github.com/mattermost/xml-roundtrip-validator/blob/master/advisories/unstable-attributes.md · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-29509 · Nota de Segurança
• https://security.netapp.com/advisory/ntap-20210129-0006 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-29509 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xhqq-x44f-9fgg · Aviso do Fabricante
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2021-1011 · Nota
• https://osv.dev/vulnerability/AZL-78900 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-6448 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-29509 · Nota de Segurança
• https://t.me/cvenotify/7816 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2021-0060 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-29509 · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/2330 · Publicação no Telegram