PySAML2が、特定のSAMLファイルを誤って処理することがわかりました。
攻撃者がこの問題を悪用して、任意のデータを使用して署名認証をバイパスする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

WSGI環境で使用されるSAMLのPython実装pysaml2は、XML署名ラッピング攻撃に対して脆弱であり、署名認証の回避を引き起こす可能性があることが判明しました。

Debian 8「Jessie」では、この問題はバージョン2.0.0-1+deb8u3で修正されました。

使用しているpython-pysaml2のパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

It was discovered that PySAML2 incorrectly handled certain SAML files.
An attacker could possibly use this issue to bypass signature verification with arbitrary data.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that pysaml2, a Python implementation of SAML to be used in a WSGI environment, was susceptible to XML signature wrapping attacks, which could result in a bypass of signature verification.

For Debian 8 'Jessie', this problem has been fixed in version 2.0.0-1+deb8u3.

We recommend that you upgrade your python-pysaml2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that pysaml2, a Python implementation of SAML to be used in a WSGI environment, was susceptible to XML signature wrapping attacks, which could result in a bypass of signature verification.

WSGI環境で使用されるSAMLのPython実装pysaml2は、XML署名ラッピング攻撃に対して脆弱であり、署名認証の回避を引き起こす可能性があることが判明しました。

发现 PySAML2 未正确处理某些 SAML 文件。
攻击者可能会利用此问题来绕过含有任意数据的签名验证。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

據發現，PySAML2 未正確處理某些 SAML 檔案。
攻擊者可能會利用此問題繞過具有任意資料的簽章驗證。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已发现 WSGI 环境中所用 SAML 的 Python 实现 pysaml2 容易受到 XML 签名封装攻击，这可能导致签名验证绕过。

对于 Debian 8“Jessie”，已在版本 2.0.0-1+deb8u3 中修复此问题。

我们建议您升级 python-pysaml2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

據發現，pysaml2 (在 WSGI 環境中使用的 SAML 的 Python 實作) 容易受到 XML 簽章包裝攻擊，這可能導致簽章驗證被繞過。

據發現，pysaml2 (在 WSGI 環境中使用的 SAML 的 Python 實作) 容易受到 XML 簽章包裝攻擊，這可能導致簽章驗證被繞過。

針對 Debian 8「Jessie」，已在 2.0.0-1+deb8u3 版本中修正此問題。

建議您升級 python-pysaml2 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已发现 WSGI 环境中所用 SAML 的 Python 实现 pysaml2 容易受到 XML 签名封装攻击，这可能导致签名验证绕过。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133179	Ubuntu 16.04 LTS / 18.04 LTS : PySAML2の脆弱性 (USN-4245-1)	Nessus	Ubuntu Local Security Checks	2020/1/22	2023/10/20	high
134092	Debian DLA-2119-1 : python-pysaml2セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/27	2024/3/25	high
133179	Ubuntu 16.04 LTS / 18.04 LTS : PySAML2 vulnerability (USN-4245-1)	Nessus	Ubuntu Local Security Checks	2020/1/22	2023/10/20	high
134092	Debian DLA-2119-1 : python-pysaml2 security update	Nessus	Debian Local Security Checks	2020/2/27	2024/3/25	high
133878	Debian DSA-4630-1 : python-pysaml2 - security update	Nessus	Debian Local Security Checks	2020/2/24	2024/3/26	high
133878	Debian DSA-4630-1 : python-pysaml2 - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/24	2024/3/26	high
133179	Ubuntu 16.04 LTS / 18.04 LTS：PySAML2 漏洞 (USN-4245-1)	Nessus	Ubuntu Local Security Checks	2020/1/22	2023/10/20	high
133179	Ubuntu 16.04 LTS / 18.04 LTS：PySAML2 弱點 (USN-4245-1)	Nessus	Ubuntu Local Security Checks	2020/1/22	2023/10/20	high
134092	Debian DLA-2119-1：python-pysaml2 安全更新	Nessus	Debian Local Security Checks	2020/2/27	2024/3/25	high
133878	Debian DSA-4630-1：python-pysaml2 - 安全性更新	Nessus	Debian Local Security Checks	2020/2/24	2024/3/26	high
134092	Debian DLA-2119-1：python-pysaml2 安全性更新	Nessus	Debian Local Security Checks	2020/2/27	2024/3/25	high
133878	Debian DSA-4630-1：python-pysaml2 - 安全更新	Nessus	Debian Local Security Checks	2020/2/24	2024/3/26	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high