Ruby SAML 库容易因不正确的 XPath 选择器而遭受 SAML 身份验证绕过 (CVE-2024-45409)
CVE编号
CVE-2024-45409利用情况
暂无补丁情况
N/A披露时间
2024-09-11漏洞描述
Ruby SAML库是用于实现SAML授权的客户端。Ruby-SAML在版本<= 12.2和版本范围在1.13.0至1.16.0之间时，无法正确验证SAML响应的签名。因此，拥有访问任何由身份提供商签署的SAML文档的未经验证的攻击者可以伪造包含任意内容的SAML响应/断言。这将允许攻击者在易受攻击的系统内登录为任意用户。此漏洞已在版本1.17.0和版本1.12.3中得到修复。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-347 | 密码学签名的验证不恰当 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论