<div dir="ltr"><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px">Hi,</p><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px">For native SPs, applications configuration is picked up from RequestMapper element from shibboleth2.xml. The sub-element tag HOST of a  RequestMap defines application specific configuration for authentication, authorization and application protection. The HOST element here CANNOT be a wildcard character as per shibboleth2.xml configuration helps etc.</p><blockquote style="margin:0 0 0 40px;border:none;padding:0px"><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px"><i>This creates an issue where a possible attack vector where a nefarious user can update their local system’s host-file to use a custom domain OR simply navigate to the IP address of the https://<host-ip-address>/<url>. Either of these options will allow for the application match NOT to be met in shibboleth2.xml and thus, the SAML authentication requirement would be skipped entirely.</i></p></blockquote><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px">Had RequestMap element supported, the wildcard in the Host match, versus the requirement that we have to specify a unique name. The above vulnerability would not have existed. This creates the vulnerability that ONLY protects any request to that specific URL.</p><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px"><br></p><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px">Regards,</p><p style="margin:10px 0px 0px;padding:0px;color:rgb(23,43,77);font-family:-apple-system,system-ui,"Segoe UI",Roboto,Oxygen,Ubuntu,"Fira Sans","Droid Sans","Helvetica Neue",sans-serif;font-size:14px">Amit Thukral</p></div>