Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-05775

Опубликовано: 09 янв. 2020
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость библиотеки для обмена идентификационными данными по стандарту SAML2 PySAML2 связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти проверку подписи и получить доступ к защищаемой информации

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
The IdentityPython project

Наименование ПО

Ubuntu
Debian GNU/Linux
PySAML2

Версия ПО

16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
19.04 (Ubuntu)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
19.10 (Ubuntu)
до 5.0.0 (PySAML2)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 19.04
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 19.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://pypi.org/project/pysaml2/5.0.0/
Для Ubuntu:
https://usn.ubuntu.com/4245-1/
Для Debian:
https://lists.debian.org/debian-lts-announce/2020/02/msg00025.html
https://www.debian.org/security/2020/dsa-4630

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 73%
0.00763
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 6 лет назад

PySAML2 before 5.0.0 does not check that the signature in a SAML document is enveloped and thus signature wrapping is effective, i.e., it is affected by XML Signature Wrapping (XSW). The signature information and the node/object that is signed can be in different places and thus the signature verification will succeed, but the wrong data will be used. This specifically affects the verification of assertion that have been signed.

CVSS3: 7.5
redhat
около 6 лет назад

PySAML2 before 5.0.0 does not check that the signature in a SAML document is enveloped and thus signature wrapping is effective, i.e., it is affected by XML Signature Wrapping (XSW). The signature information and the node/object that is signed can be in different places and thus the signature verification will succeed, but the wrong data will be used. This specifically affects the verification of assertion that have been signed.

CVSS3: 7.5
nvd
около 6 лет назад

PySAML2 before 5.0.0 does not check that the signature in a SAML document is enveloped and thus signature wrapping is effective, i.e., it is affected by XML Signature Wrapping (XSW). The signature information and the node/object that is signed can be in different places and thus the signature verification will succeed, but the wrong data will be used. This specifically affects the verification of assertion that have been signed.

CVSS3: 7.5
debian
около 6 лет назад

PySAML2 before 5.0.0 does not check that the signature in a SAML docum ...

CVSS3: 7.5
github
почти 6 лет назад

Improper Verification of Cryptographic Signature in PySAML2

EPSS

Процентиль: 73%
0.00763
Низкий

7.5 High

CVSS3

7.8 High

CVSS2