PT-2021-22429 · Unknown · Passport-Saml

Pp-Ps · Publicado 2021-08-27 · Atualizado 2021-09-07 · CVE-2021-39171

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do software vulnerável e versões afetadas

Versões do Passport-SAML anteriores à 3.1.0

Descrição

Uma carga maliciosa SAML pode exigir transformações cujo processamento consuma recursos significativos do sistema, resultando assim na redução ou na interrupção do serviço. Essa seria uma forma eficaz de realizar um ataque de negação de serviço.

Recomendações

Para versões anteriores à 3.1.0, atualize para a versão 3.1.0 para resolver o problema, limitando o número de transformações permitidas a 2. Como solução alternativa temporária, considere restringir o processamento de cargas SAML para minimizar o risco de exploração.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-39171

GHSA-5379-R78W-42H2

Produtos afetados

Passport-Saml

Referências · 8

• https://github.com/node-saml/passport-saml/pull/595 · Correção
• https://github.com/node-saml/passport-saml/security/advisories/GHSA-5379-r78w-42h2 · Nota
• https://github.com/node-saml/passport-saml · Nota
• https://github.com/node-saml/passport-saml/commit/f1e00b64c21a725f545e675cd810bbaa435a3972 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-39171 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5379-r78w-42h2 · Aviso do Fabricante
• https://t.me/cvenotify/20291 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-39171 · Aviso do Fabricante