Shibboleth consortium による報告：

その他のデータ偽造に対するShibboleth SPソフトウェアの脆弱性の欠陥

サービスプロバイダーソフトウェアによって実行されるXML処理は、先月、アドバイザリで対処されたものと同様の性質であり、新しい欠陥に対して脆弱であることが判明しました。

これらのバグは、エンティティ参照ではなく他のXML構造の使用を伴うため、発見された場合は追加の緩和策が必要でした。以前の問題と同様に、この欠陥により、XMLドキュメントが変更される可能性があります。これにより、デジタル署名が破られることはありませんが、SPの背後のアプリケーションに渡されるユーザーデータが変更され、なりすまし攻撃や保護された情報の漏洩が発生する可能性があります。

以前と同様に、XML暗号化の使用は重要な緩和策ですが、元のケースとこの新しいケースの両方で、応答「エンベロープ」に対する攻撃が可能になる可能性を否定できません。この性質の実際の攻撃は知られていないため、実装者は、暗号化されていないSAMLアサーションを処理することが期待されるパッチ適用システムを優先する必要があります。

これらの新しい攻撃から保護するXMLTooling-C（V1.6.4）の更新バージョンが利用可能であり、今後同様の脆弱性の防止に役立つはずです。

以前のケースとは異なり、これらのバグは、どのプラットフォームでも既存のXerces-Cパーサーバージョンでは防止されず、最新のXMLTooling-Cライブラリ以外では対処できません。

このサービスプロバイダーソフトウェアは、SAML応答の処理を汎用XMLパーサーに依存しており、このパーサーの古いバージョンには、Document Type Definition（DTD）処理を完全に無効にできないという制限があります。

DTDの追加/操作によってXMLドキュメントに変更を加えることができます。この変更は、デジタル署名を破ることはありませんが、SPおよびそのライブラリによって不適切に処理されます。このような操作により、SPの背後のアプリケーションに渡されるユーザーデータが変更され、なりすまし攻撃や保護された情報の漏洩が発生する可能性があります。

xerces-c3パーサーの新しいバージョンは、環境変数を介したDTDの使用を許可しないようSPによって構成されていますが、この機能はバージョン3.1.4以前のxerces-c3パーサーには存在しないため、実際のDTDの悪用が特定された現在、追加の修正が提供されています。Xerces-c3-3.1.4はすでに2016-07-26にポートツリーにコミットされました。

検出

FreeBSD： shibboleth-sp -- 偽造ユーザー属性データに対する脆弱性（22438240-1bd0-11e8-a2ec-6cc21735f730）

medium Nessus プラグイン ID 107042

バージョン 3.6