Shibboleth consortiumによる報告：

偽造ユーザー属性データに対するShibboleth SPソフトウェアの脆弱性

このサービスプロバイダーソフトウェアは、SAML応答の処理を汎用XMLパーサーに依存しており、このパーサーの古いバージョンには、Document Type Definition（DTD）処理を完全に無効にできないという制限があります。

DTDの追加/操作によってXMLドキュメントに変更を加えることができます。この変更は、デジタル署名を破ることはありませんが、SPおよびそのライブラリによって不適切に処理されます。このような操作により、SPの背後のアプリケーションに渡されるユーザーデータが変更され、なりすまし攻撃や保護された情報の漏洩が発生する可能性があります。

xerces-c3パーサーの新しいバージョンは、環境変数を介したDTDの使用を許可しないようSPによって構成されていますが、この機能はバージョン3.1.4以前のxerces-c3パーサーには存在しないため、実際のDTDの悪用が特定された現在、追加の修正が提供されています。Xerces-c3-3.1.4はすでに2016-07-26にポートツリーにコミットされました。

検出

FreeBSD： shibboleth-sp -- 偽造ユーザー属性データに対する脆弱性（3dbe9492-f7b8-11e7-a12d-6cc21735f730）

medium Nessus プラグイン ID 106036

変更ログが見つかりません