Bundesamt für Sicherheit in der Informationstechnik

CB-K17/1982 Update 2

Risikostufe 4

Titel:Shibboleth: Eine Schwachstelle ermöglicht das Umgehen von SicherheitsvorkehrungenDatum:07.12.2017Software:Shibboleth < 2.6.1Plattform:SUSE Linux Enterprise Software Development Kit 12 SP2, SUSE Linux Enterprise Software Development Kit 12 SP3, Apple macOS, Debian Linux 8.9 Jessie, Debian Linux 9.2 Stretch, GNU/Linux, Microsoft Windows , openSUSE Leap 42.2, openSUSE Leap 42.3, SUSE Linux Enterprise Server 12 SP2, SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi, SUSE Linux Enterprise Server 12 SP3Auswirkung:Umgehen von SicherheitsvorkehrungenRemoteangriff:JaRisiko:hochCVE Liste:CVE-2017-16852Bezug: Debian Security Advisory DSA-4038-1

Beschreibung

Shibboleth ist ein Verfahren zur verteilten Authentifizierung und Autorisierung für Webanwendungen und Webservices. Es setzt eine einmalige Anmeldung voraus, um anschließend auf freigegebene Dienste und Inhalte, unabhängig von dem Standort an dem sich der Benutzer befindet, zugreifen zu können. Shibboleth ist eine Erweiterung des SAML Standards.

Aufgrund eines Programmierfehlers im dynamischen 'MetadataProvider'-Plugin von Shibboleth werden kritische Sicherheitsprüfungen für zu schützende Bereiche nicht durchgeführt. Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle ausnutzen, um die beabsichtigten Sicherheitsvorkehrungen zu umgehen und unterschiedliche Angriffe durchzuführen. Zu den Angriffen kann auch die Ersetzung von Metadaten gehören, wodurch der zu schützende Bereich vollständig kompromittiert werden kann. Die kritische Schwachstelle wird vom Hersteller in Shibboleth Version 2.6.1 behoben. Das dynamische Laden von Metadaten über das Plugin ist allerdings nicht die standardmäßige Herangehensweise. Im zugehörigen Sicherheitshinweis findet sich ein Hinweis auf eine identische Schwachstelle in der OpenSAML-Bibliothek (siehe gesondertes Advisory). Für Debian Jessie (oldstable) und Stretch (stable) stehen Backport-Sicherheitsupdates zur Verfügung.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK