PT-2022-26143 · Unknown · Crewjam/Saml

Felix Wilhelm · Publicado 2022-11-28 · Atualizado 2023-02-01 · CVE-2022-41912

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Biblioteca Go crewjam/saml em versões anteriores à 0.4.9

Descrição

O problema diz respeito a uma falha de autenticação ao processar respostas SAML que contenham vários elementos Assertion. Isso foi corrigido na versão 0.4.9. Não há soluções alternativas além da atualização para uma versão corrigida.

Recomendações

Para versões anteriores à 0.4.9, atualize para a versão 0.4.9 para resolver o problema. Como solução alternativa temporária, considere restringir o processamento de respostas SAML contendo múltiplos elementos Assertion até que um patch esteja disponível.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2022-41912

GHSA-J2JP-WVQG-WC2G

GO-2022-1129

Produtos afetados

Crewjam/Saml

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41912.json · Exploit
• https://github.com/crewjam/saml · Nota
• https://github.com/crewjam/saml/security/advisories/GHSA-j2jp-wvqg-wc2g · Nota
• https://github.com/crewjam/saml/releases/tag/v0.4.9 · Nota
• https://github.com/crewjam/saml/commit/aee3fb1edeeaf1088fcb458727e0fd863d277f8b · Correção
• https://github.com/prometheus/exporter-toolkit/security/advisories/GHSA-7rg2-cxvp-9p7p · Nota
• https://t.me/cvenotify/41114 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-1129 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-41912 · Nota de Segurança
• https://t.me/cvenotify/38904 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-41912 · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/7459 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-41912 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41912 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-41912 · Aviso do Fabricante