
<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=utf-8">

  </head>

  <body text="#000000" bgcolor="#FFFFFF">

    <p><br>

    </p>

    <br>

    <div class="moz-cite-prefix">On 2/27/18 10:21 PM, Marc Boorshtein

      wrote:<br>

    </div>

    <blockquote type="cite"

cite="mid:CAJEX5ou-Jke6RiGJTCzqcAnqg8Zts3PF7mxHR1Ftv13bVX8tdg@mail.gmail.com">

      <div dir="ltr">I haven't tried this, but the advisory only

        mentions the OpenSAML-C libraries.  Is it known if this effects

        the opensaml java libs?<br>

      </div>

    </blockquote>

    <br>

    It does not. At least, not if you are using our ParserPool impl with

    default settings.   We completely strip out the comments when we

    parse the input into the DOM.  So there's never any comments in the

    DOM.<br>

    <br>

    We've always done this back to early days, simply because we don't

    support preserving comments at all in the marshalling/unmarshalling

    process.  So turned out to be a happy coincidence with respect to

    this vulnerability.<br>

  </body>

</html>