Inicio / Alerta Temprana / Vulnerabilidades / CVE-2021-21239

Vulnerabilidad en la firma de los documentos SAML en el backend CryptoBackendXmlSec1 en PySAML2 (CVE-2021-21239)

Tipo: 
No disponible / Otro tipo
Gravedad: 
Media
Fecha publicación : 
21/01/2021
Última modificación: 
26/02/2021
Descripción
PySAML2 es una implementación de Python pura de SAML Versión 2 Estándar. PySAML2 versiones anteriores a 6.5.0, presenta una verificación inapropiada de una vulnerabilidad de firma criptográfica. Los usuarios de pysaml2 que utilizan el backend CryptoBackendXmlSec1 predeterminado y necesitan verificar los documentos SAML firmados están afectados. PySAML2 no garantiza que un documento SAML firmado esté correctamente firmado. El backend CryptoBackendXmlSec1 predeterminado está usando el binario xmlsec1 para verificar la firma de los documentos SAML firmados, pero por defecto xmlsec1 acepta cualquier tipo de clave que se encuentre dentro del documento dado. xmlsec1 debe configurarse explícitamente para usar solo _x509 certificates_ para el proceso de verificación de la firma del documento SAML. Esto es corregido en PySAML2 versión 6.5.0
Impacto
Vector de acceso: A través de red
Complejidad de Acceso: Media
Autenticación: No requerida para explotarla
Tipo de impacto: Afecta parcialmente a la integridad del sistema + No hay impacto en la confidencialidad del sistema + No hay impacto en la disponibilidad del sistema
Productos y versiones vulnerables
  • cpe:2.3:a:pysaml2_project:pysaml2:*:*:*:*:*:*:*:*
Para consultar la lista completa de productos y versiones ver esta página
Explicación de los campos