Kurzinfo CB-K18/0368 Update 1

2 Risiko: niedrig
Information zu Schwachstellen und Sicherheitslücken
Titel: SAML-Produkte: Eine Schwachstelle ermöglicht das Umgehen von Sicherheitsvorkehrungen
Datum: 06.03.2018
Software: SAML2-js < 2.0.2, Duo Network Gateway < 1.2.10, IBM Security Access Manager >= 9.0, IBM Security Access Manager <= 9.0.4.0, OmniAuth SAML <= 1.9.0, OneLogins SAML Python Toolkit < 2.4.0, OneLogins Ruby SAML < 1.7.0, OpenSAML-C++ 2.6.1
Plattform: IBM Security Access Manager Appliance, Apple macOS, Debian Linux 8.10 Jessie, Debian Linux 9.3 Stretch, GNU/Linux, Microsoft Windows
Auswirkung: Umgehen von Sicherheitsvorkehrungen
Remoteangriff: Ja
Risiko: niedrig
CVE Liste: CVE-2017-11427, CVE-2017-11428, CVE-2017-11429, CVE-2017-11430, CVE-2018-0489, CVE-2018-1443, CVE-2018-7340
Bezug: Shibboleth Service Provider Security Advisory 27. Februar 2018
Revisions Historie
  • Version: 2

    IBM bestätigt die Schwachstelle CVE-2018-1443 für Security Access Manager Appliances in den Versionen 9.0.0 - 9.0.4. Kunden werden angewiesen unter Referenzierung auf APAR IJ00123 ein Ticket mit dem Level 2 Support zu öffnen, um einen Patch zu erhalten.

  • Version: 1

    Neues Advisory

Beschreibung

SAML2-js ist eine JavaScript Implementation der Security Assertion Markup Language (SAML).

Das Duo Network Gateway ist eine auf SAML basierende zentralisierte Single-Sign-On Lösung für VPN-Clients.

Der IBM Security Access Manager bietet Zugriffsrichtlinien für Web-Umgebungen. Vor Version 9 besaß der Produktname den Zusatz 'for Web'.

OmniAuth SAML ist eine Ruby Implementation der Security Assertion Markup Language (SAML) für OmniAuth.

OneLogins SAML Python Toolkit ist eine Python Implementation der Security Assertion Markup Language (SAML).

OneLogins Ruby SAML ist eine Ruby Implementation der Security Assertion Markup Language (SAML).

OpenSAML-C++ ist eine in C++ geschriebene Bibliothek, die die Erstellung und den Konsum von SAML-Nachrichten, die Erstellung und Auswertung digital signierter und verschlüsselter Inhalte und die Zusammenarbeit mit SAML-Bindings ermöglicht.

Eine Schwachstelle in den Produkten OneLogins SAML Python Toolkit, OneLogins Ruby SAML, SAML2-js, OmniAuth SAML, Shibboleth OpenSAML und Duo Network Gateway ermöglicht das Umgehen von Sicherheitsvorkehrungen und Ausspähen von Informationen. Für die unterschiedlichen Produkte wurden verschiedene Schwachstellenidentifier (CVEs) erstellt, die sich allerdings auf das gleiche Problem zurückführen lassen. Die Hersteller haben die Schwachstelle behoben und stellen Sicherheitsupdates bereit: Die OneLogins SAML Python Toolkit Version 2.4.0 behebt die Schwachstelle CVE-2017-11427. Mittels der OneLogins Ruby SAML Version 1.7.0 wird die Schwachstelle CVE-2017-11428 adressiert. Und für das Duo Network Gateway wird über die Version 1.2.10 die Schwachstelle CVE-2018-7340 behoben. Um Shibboleth OpenSAML von der Schwachstelle CVE-2018-0489 zu befreien, muss Shibboleth XMLTooling-C in der Version 1.6.4 eingespielt werden. SAML2-js wurde im Quellcode bereits auf Version 2.0.2 angehoben, um die Schwachstelle CVE-2017-11429 zu fixen, allerdings existiert noch kein 'Tag', so dass die Software von der momentanen 'Master'-Version bezogen werden muss. Ebenfalls behoben wurde die Schwachstelle CVE-2017-11430 im Quellcode-Repository von OmniAuth SAML durch einen Patch vom 27.02.2018 (Commit 2d50dba) gegen die Version 1.9.0, allerdings fehlt auch hier noch die neue Release-Version. Für die Debian Distributionen Jessie (old stable) und Stretch (stable) stehen Sicherheitsupdates für 'xmltooling' bereit, um die Schwachstelle CVE-2018-0489 zu beheben.

  1. Debian Security Advisory DSA-4126-1

  2. Duo Product Security Advisory DUO-PSA-2017-003

  3. OmniAuth SAML Commit 2d50dba

  4. OneLogins Ruby SAML Release 1.7.0

  5. OneLogins SAML Python Toolkit Release 2.4.0

  6. SAML2-js Commit 3546cb6 - 'Release 2.0.2'

  7. Shibboleth Service Provider Security Advisory 27. Februar 2018

  8. Duo Labs - 'Duo Finds SAML Vulnerabilities Affecting Multiple Implementations'

  9. OmniAuth SAML Issue 157 - 'Fix CVE-2017-11430'

  10. SAML2-js Issue 127 - 'CVE-2017-11429 -- get_name_id omits values after a comment'

  11. Schwachstelle CVE-2017-11427 (NVD)

  12. Schwachstelle CVE-2017-11428 (NVD)

  13. Schwachstelle CVE-2017-11429 (NVD)

  14. Schwachstelle CVE-2017-11430 (NVD)

  15. Schwachstelle CVE-2018-0489 (NVD)

  16. Schwachstelle CVE-2018-7340 (NVD)

  17. IBM Security Bulletin 2014160

  18. IBM PSIRT Blog: IBM Security Access Manager Appliance is affected by a Security Assertion Markup Language (SAML)-based single sign-on (SSO) systems vulnerability (CVE-2018-1443)

  19. Schwachstelle CVE-2018-1443 (NVD)

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.