goxmldsig 数据伪造问题漏洞

漏洞介绍

goxmldsig是个人开发者的一个Go语言编写的数字签名库。该库继承了 SAML2.0，不需要命令行工具即可进行签名的生成和验证功能。

goxmldsig (XML Digital Signatures implemented in pure Go) 1.1.0之前版本存在数据伪造问题漏洞，该漏洞允许攻击者可以完全绕过签名验证，并将经过更改的文件作为签名文件传递出去。

漏洞补丁

目前厂商已发布升级了goxmldsig 数据伪造问题漏洞的补丁，goxmldsig 数据伪造问题漏洞的补丁获取链接：

https://github.com/russellhaering/goxmldsig/security/advisories/GHSA-q547-gmf8-8jr7

参考网址

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/GUH33FPUXED3FHYL25BJOQPRKFGPOMS2/

来源:CONFIRM

链接：https://github.com/russellhaering/goxmldsig/security/advisories/GHSA-q547-gmf8-8jr7

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/ZECBFD4M4PHBMBOCMSQ537NOU37QOVWP/

来源:MISC

链接：https://pkg.go.dev/github.com/russellhaering/goxmldsig?tab=overview

来源:MISC

链接：https://github.com/russellhaering/goxmldsig/commit/f6188febf0c29d7ffe26a0436212b19cb9615e64

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2020-15216

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202009-1671