Shibboleth Service Provider 后置链接漏洞

漏洞介绍

Shibboleth是英国Shibboleth公司的一套基于Windows平台的开源的SAML协议的Web单点登录系统。Service Provider（SP）是其中的一个服务提供商组件，它主要用于拦截对受保护资源或应用程序入口点的访问、向选定的身份提供者发出SAML身份验证请求等。

Shibboleth SP 3.1.0之前的3.x版本中存在安全漏洞。攻击者可借助连接到/etc/shadow等文件的符号链接利用该漏洞将权限提升至root。

漏洞补丁

目前厂商已发布升级了Shibboleth Service Provider 后置链接漏洞的补丁，Shibboleth Service Provider 后置链接漏洞的补丁获取链接：

https://issues.shibboleth.net/jira/browse/SSPCPP-874

参考网址

来源:bugzilla.suse.com

链接：https://bugzilla.suse.com/show_bug.cgi?id=1157471

来源:SUSE

链接：http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00017.html

来源:issues.shibboleth.net

链接：https://issues.shibboleth.net/jira/browse/SSPCPP-874

来源:www.suse.com

链接：https://www.suse.com/support/update/announcement/2019/suse-su-20193386-1.html

来源:www.suse.com

链接：https://www.suse.com/support/update/announcement/2020/suse-su-20200115-1.html

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.0178/

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2019-19191

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Shibboleth-Service-Provider-privilege-escalation-via-Specfile-Commands-30942

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201911-1265