Kurzinfo CB-K18/0388 Update 1

5 Risiko: sehr hoch
Information zu Schwachstellen und Sicherheitslücken
Titel: SimpleSAMLphp: Mehrere Schwachstellen ermöglichen u.a. das Erlangen von Benutzerrechten
Datum: 06.03.2018
Software: SimpleSAMLphp < 1.15.3
Plattform: Debian Linux 8.10 Jessie, Debian Linux 9.3 Stretch
Auswirkung: Erlangen von Benutzerrechten
Remoteangriff: Ja
Risiko: sehr hoch
CVE Liste: CVE-2017-12867, CVE-2017-12869, CVE-2017-12873, CVE-2017-12874, CVE-2017-18121, CVE-2017-18122, CVE-2018-6519, CVE-2018-6521, CVE-2018-7644
Bezug: Debian Security Advisory DSA-4127-1
Revisions Historie
  • Version: 2

    Die vom Hersteller Uninett unter dem Identifier SSPSA 201802-01 behandelte Schwachstelle hat den CVE-Identifier CVE-2018-7644 erhalten. Der Hersteller hatte das zugehörige Security Advisory, mit dem Details zu der Schwachstelle veröffentlicht werden, bis zum 5. März 14:00 CET unter Embargo gehalten, um Anwendern von SimpleSAMLphp die Gelegenheit zum Einspielen eines Sicherheitsupdates zu geben. Die Schwachstelle kann von einem bösartigen Teilnehmer, als vermutlich entferntem, einfach authentisierten Angreifer, für eine weitreichende Privilegieneskalation ausgenutzt werden. Der Hersteller hatte bereits zuvor die SimpleSAMLphp Version 1.15.3 als Sicherheitsupdate veröffentlicht, welche dauerhaft einen Workaround implementiert, bis eine neue Implementierung der Drittanbieter-Bibliothek verfügbar ist. Jene Anwender, die nicht innerhalb des gegeben Zeitraums ein Upgrade durchführen können, müssen mindestens die 'simplesamlphp/saml'-Abhängigkeit auf die letzte Version der ihnen verfügbaren Bibliothek aktualisieren: Version 1.10.5, 2.3.7 oder 3.1.3.

  • Version: 1

    Neues Advisory

Beschreibung

SimpleSAMLphp ist eine PHP-Anwendung für den Umgang mit Authentifizierungen.

Mehrere Schwachstellen in SimpleSAMLphp ermöglichen einem entfernten, nicht authentisierten Angreifer das Umgehen von Sicherheitsvorkehrungen, das Ausspähen von Informationen, das Erlangen von Benutzerrechten, einen Cross-Site-Scripting (XSS) sowie einen Denial-of-Service (DoS)-Angriff. Über eine weitere, vom Hersteller als kritisch eingestufte Schwachstelle gibt es noch keine weiteren Informationen. Die Schwachstellen betreffen unterschiedliche Versionen von SimpleSAMLphp vor Version 1.15.3. Debian stellt für Debian Jessie (oldstable) und Debian Stretch (stable) Backport-Sicherheitsupdates zur Verfügung.

  1. Schwachstelle CVE-2017-12867 (NVD)

  2. Schwachstelle CVE-2017-12869 (NVD)

  3. Schwachstelle CVE-2017-12873 (NVD)

  4. Schwachstelle CVE-2017-12874 (NVD)

  5. Schwachstelle CVE-2018-6519 (NVD)

  6. Schwachstelle CVE-2018-6521 (NVD)

  7. Schwachstelle CVE-2017-18121 (NVD)

  8. Schwachstelle CVE-2017-18122 (NVD)

  9. Debian Security Advisory DSA-4127-1

  10. SimpleSAMLphp - Latest News (Releases)

  11. SimpleSAMLphp Security Advisory 201802-01

  12. Schwachstelle CVE-2018-7644 (NVD)

CERT-Bund bietet personalisierte Warn- und Informationsdienste an.
Bitte registrieren Sie sich, um diese Angebote nutzen zu können.