CVE-2017-12872 / CVE-2017-12868

The (1) Htpasswd authentication source in the authcrypt module and (2) SimpleSAML_Session class in SimpleSAMLphp 1.14.11 and earlier allow remote attackers to conduct timing side-channel attacks by leveraging use of the standard comparison operator to compare secret material against user input.

CVE-2017-12868 was a about an improper fix of CVE-2017-12872 in the initial patch released by upstream. We have used the correct patch.

For Debian 8 'Jessie', these problems have been fixed in version 1.13.1-2+deb8u2.

We recommend that you upgrade your simplesamlphp packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The simplesamlphp package in wheezy is vulnerable to multiple attacks on authentication-related code, leading to unauthorized access and information disclosure.

CVE-2017-12867

The SimpleSAML_Auth_TimeLimitedToken class allows attackers with access to a secret token to extend its validity period by manipulating the prepended time offset.

CVE-2017-12869

The multiauth module allows remote attackers to bypass authentication context restrictions and use an authentication source defined in config/authsources.php via vectors related to improper validation of user input.

CVE-2017-12872 / CVE-2017-12868

The (1) Htpasswd authentication source in the authcrypt module and (2) SimpleSAML_Session class in SimpleSAMLphp 1.14.11 and earlier allow remote iattackers to conduct timing side-channel attacks by leveraging use of the standard comparison operator to compare secret material against user input.

CVE-2017-12868 was a about an improper fix of CVE-2017-12872 in the initial patch released by upstream. We have used the correct patch.

CVE-2017-12873

SimpleSAMLphp might allow attackers to obtain sensitive information, gain unauthorized access, or have unspecified other impacts by leveraging incorrect persistent NameID generation when an Identity Provider (IdP) is misconfigured.

CVE-2017-12874

The InfoCard module for SimpleSAMLphp allows attackers to spoof XML messages by leveraging an incorrect check of return values in signature validation utilities.

For Debian 7 'Wheezy', these problems have been fixed in version 1.9.2-1+deb7u1.

We recommend that you upgrade your simplesamlphp packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2017-12872 / CVE-2017-12868

authcryptモジュールの（1）Htpasswd認証ソース、およびSimpleSAMLphp 1.14.11以前の（2）SimpleSAML_Sessionクラスにより、標準の比較演算子の使用を利用して、ユーザーの入力と秘密の素材を比較することで、リモートの攻撃者がタイミングサイドチャネル攻撃を行う可能性があります。

CVE-2017-12868は、アップストリームでリリースされた初期パッチにおけるCVE-2017-12872の不適切な修正についてです。正しいパッチを使用しました。

Debian 8「Jessie」では、これらの問題はバージョン1.13.1-2+deb8u2で修正されました。

simplesamlphpのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

wheezyのsimplesamlphpパッケージは、認証関連のコードに対する複数の攻撃に対して脆弱であり、認証されていないアクセスや情報漏洩を引き起こす可能性があります。

CVE-2017-12867

SimpleSAML_Auth_TimeLimitedTokenクラスにより、秘密トークンへのアクセス権を持つ攻撃者が、先頭に追加したタイムオフセットを操作することで、有効期間を延長できます。

CVE-2017-12869

multiauthモジュールにより、リモートの攻撃者がユーザー入力の不適切な検証に関連するベクトルを介して、認証コンテキストの制限をバイパスし、config/authsources.phpで定義された認証ソースを使用する可能性があります。

CVE-2017-12872/CVE-2017-12868

authcryptモジュールの（1）Htpasswd認証ソース、およびSimpleSAMLphp 1.14.11以前の（2）SimpleSAML_Sessionクラスにより、標準の比較演算子の使用を利用して、ユーザーの入力と秘密の素材を比較することで、リモートの攻撃者がタイミングサイドチャネル攻撃を行う可能性があります。

CVE-2017-12868は、upstreamによりリリースされた初期パッチにおけるCVE-2017-12872の不適切な修正についてです。正しいパッチを使用しました。

CVE-2017-12873

SimpleSAMLphpでは、アイデンティティプロバイダー（IdP）が誤って構成された際に、攻撃者が不適切な永続的NameID生成を利用して、機密情報の取得、認証されていないアクセスの取得、または他の詳細不明な影響を与える可能性があります。

CVE-2017-12874

SimpleSAMLphp用のInfoCardモジュールにより、攻撃者は、署名検証ユーティリティの戻り値の不適切なチェックを利用して、XMLメッセージを偽装することができます。

Debian 7「Wheezy」では、これらの問題はバージョン1.9.2-1+deb7u1で修正されました。

お使いのsimplesamlphpパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-12872 / CVE-2017-12868 (1) authcrypt 模組中的 Htpasswd 驗證來源及 (2) SimpleSAMLphp 1.14.11 及更早版本中的 SimpleSAML_Session 類別可讓遠端攻擊者利用標準比較運算元來比較機密資料與使用者輸入，以發動計時旁路攻擊。CVE-2017-12868 問題與上游發佈之初始修補程式中的 CVE-2017-12872 不當修正有關。我們已採用正確的修補程式。針對 Debian 8「Jessie」，這些問題已在 1.13.1-2~deb8u2 版本中修正。建議您升級 simplesamlphp 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-12872 / CVE-2017-12868 (1) authcrypt 模块中的 Htpasswd 身份验证来源和 (2) SimpleSAMLphp 1.14.11 及更早版本中的 SimpleSAML_Session 类可让远程攻击者利用标准比较运算符来比较保密材料和用户输入，从而发动时序边信道攻击。CVE-2017-12868 系关于上游发布的初始修补程序中 CVE-2017-12872 的不正确修复。我们已使用正确的修补程序。对于 Debian 8“Jessie”，这些问题已在 1.13:1-2+deb8u2 版本中修复。建议您升级 simplesamlphp 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

wheezy 中的 simplesamlphp 套件容易受到多個驗證相關程式碼的攻擊，會導致未經驗證存取和資訊洩漏。CVE-2017-12867 有權存取秘密權杖的攻擊者可利用 SimpleSAML_Auth_TimeLimitedToken 類別，透過操控置於開頭的時間偏移來延長權杖的有效期限。CVE-2017-12869 遠端攻擊者可利用多重驗證模組，透過與不當驗證使用者輸入相關的向量，繞過驗證內容限制並使用 config/authsources.php 中定義的驗證來源。CVE-2017-12872 / CVE-2017-12868 遠端攻擊者可利用 (1) authcrypt 模組中定義的 Htpasswd 驗證來源，以及 (2) SimpleSAMLphp 1.14.11 及之前版本中的 SimpleSAML_Session 類別，透過利用標準比對運算子來比對秘密內容與使用者輸入，藉此發動計時旁路攻擊。CVE-2017-12868 問題與上游發佈之初始修補程式中的 CVE-2017-12872 不當修正有關。我們已採用正確的修補程式。CVE-2017-12873 攻擊者有可能利用 SimpleSAMLphp，在識別提供者 (IdP) 設定錯誤時利用不正確的持續性 NameID 產生，藉此取得敏感資訊、取得非授權存取或有其他不明影響。CVE-2017-12874 攻擊者可利用 SimpleSAMLphp 的 InfoCard 模組，透過利用簽章驗證公用程式中的傳回值檢查錯誤，藉此偽造 XML 訊息。針對 Debian 7「Wheezy」，這些問題已在 1.9.2-1+deb7u1 版本中修正。建議您升級 simplesamlphp 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

wheezy 中的 simplesamlphp 程序包容易受到针对身份验证相关代码的多种攻击，从而导致未经授权的访问和信息泄露。CVE-2017-12867 SimpleSAML_Auth_TimeLimitedToken 类允许有权访问秘密令牌的攻击者通过操纵预先设置的时间偏移量来延长其有效期。CVE-2017-12869 multiauth 模块允许远程攻击者通过与未正确验证用户输入相关的向量，绕过身份验证环境限制并使用 config/authsources.php 中定义的身份验证源。CVE-2017-12872 / CVE-2017-12868 (1) authcrypt 模块中的 Htpasswd 身份验证来源和 (2) SimpleSAMLphp 1.14.11 及更早版本中的 SimpleSAML_Session 类可让远程攻击者利用标准比较运算符来比较保密材料和用户输入，从而发动时序边信道攻击。CVE-2017-12868 系关于上游发布的初始修补程序中 CVE-2017-12872 的不正确修复。我们已使用正确的修补程序。CVE-2017-12873 SimpleSAMLphp 可允许攻击者通过在标识提供者 (IdP) 配置错误时利用错误的生成持久性 NameID 来获取敏感信息、获得未经授权的访问权限或造成其他不明影响。CVE-2017-12874 SimpleSAMLphp 的 InfoCard 模块允许攻击者利用签名验证实用程序未正确检查返回值来伪造 XML 消息。对于 Debian 7“Wheezy”，这些问题已在 1.9.2-1+deb7u1 版本中修复。建议您升级 simplesamlphp 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
110817	Debian DLA-1408-1 : simplesamlphp security update	Nessus	Debian Local Security Checks	2018/7/2	2021/1/11	critical
105193	Debian DLA-1205-1 : simplesamlphp security update	Nessus	Debian Local Security Checks	2017/12/13	2021/1/11	critical
110817	Debian DLA-1408-1: simplesamlphpセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/7/2	2021/1/11	critical
105193	Debian DLA-1205-1: simplesamlphpセキュリティ更新	Nessus	Debian Local Security Checks	2017/12/13	2021/1/11	critical
110817	Debian DLA-1408-1：simplesamlphp 安全性更新	Nessus	Debian Local Security Checks	2018/7/2	2021/1/11	critical
110817	Debian DLA-1408-1：simplesamlphp 安全更新	Nessus	Debian Local Security Checks	2018/7/2	2021/1/11	critical
105193	Debian DLA-1205-1：simplesamlphp 安全性更新	Nessus	Debian Local Security Checks	2017/12/13	2021/1/11	critical
105193	Debian DLA-1205-1：simplesamlphp 安全更新	Nessus	Debian Local Security Checks	2017/12/13	2021/1/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical