Vulnerabilidad en XML Signature Wrapping (XSW) en PySAML2 (CVE-2020-5390)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/01/2020
Última modificación:
01/02/2023
Descripción
PySAML2 versiones anteriores a la versión 5.0.0 no comprueba que la firma en un documento SAML esté envuelta y, por lo tanto, el empaquetado de la firma es efectivo, es decir, está afectado por XML Signature Wrapping (XSW). La información de la firma y el nodo u objeto que está firmado puede estar en diferentes lugares y, por lo tanto, la comprobación de la firma tendrá éxito, pero serán usados los datos incorrectos. Esto afecta específicamente la comprobación de las afirmaciones que se han firmado.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:pysaml2_project:pysaml2:*:*:*:*:*:*:*:* | 5.0.0 (excluyendo) | |
| cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:esm:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:18.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:19.04:*:*:*:*:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:19.10:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/IdentityPython/pysaml2/commit/5e9d5acbcd8ae45c4e736ac521fd2df5b1c62e25
- https://github.com/IdentityPython/pysaml2/commit/f27c7e7a7010f83380566a219fd6a290a00f2b6e
- https://github.com/IdentityPython/pysaml2/releases
- https://github.com/IdentityPython/pysaml2/releases/tag/v5.0.0
- https://lists.debian.org/debian-lts-announce/2020/02/msg00025.html
- https://pypi.org/project/pysaml2/5.0.0/
- https://usn.ubuntu.com/4245-1/
- https://www.debian.org/security/2020/dsa-4630