更新漏洞注意VU # 475445

相关的cf

cve - 2017 - 11427- OneLogin“pythonsaml”
cve - 2017 - 11428- OneLogin“rubysaml”
cve - 2017 - 11429——聪明的“saml2-js”
cve - 2017 - 11430——“OmniAuth-SAML”
cve - 2018 - 0489——口令openSAML c++

漏洞报告VU # 475445(https://www.kb.cert.org/vuls/id/475445)与劫持SAML文件添加注释字段,操纵用户的标识。SAML服务提供者,Spotinst验证,我们的系统内的所有XML解析处理正确评论。Spotinst不使用任何库的具体要求。此外,我们已经测试了的核心XML库使用所描述的攻击。测试表明,该漏洞不能复制与我们服务提供者SAML接口。

说完这些,上游身份提供者(idp)将需要做出自己的修改,以确保平台适当支持SAML文档内的评论。请参考语句从您的国内流离失所者服务和/或图书馆关于应对他们有这个漏洞。

请不要犹豫地伸出Spotinst客户支持(cs@spotinst.com)与任何安全问题。