<div dir="ltr">As noted in the initial advisory, they have:<div><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0486">http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0486</a><br></div><div><br></div><div>Greg</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Jan 16, 2018 at 1:19 PM, Steven Carmody <span dir="ltr"><<a href="mailto:steven_carmody@brown.edu" target="_blank">steven_carmody@brown.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">question from our security officer -- has the SHib project considered getting CVE numbers for these advisories ?<div><div class="h5"><br>
<br>
On 1/12/18 10:37 AM, Cantor, Scott wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
  -----BEGIN PGP SIGNED MESSAGE-----<br>
Hash: SHA512<br>
<br>
<br>
Shibboleth Service Provider Security Advisory [12 January 2018]<br>
<br>
An updated version of the Shibboleth Project's XMLTooling library is<br>
available which corrects a critical security issue.<br>
<br>
<br>
Shibboleth SP software vulnerable to forged user attribute data<br>
==============================<wbr>==============================<wbr>========<br>
The Service Provider software relies on a generic XML parser to process<br>
SAML responses and there are limitations in older versions of the parser<br>
that make it impossible to fully disable Document Type Definition (DTD)<br>
processing.<br>
<br>
Through addition/manipulation of a DTD, it's possible to make changes<br>
to an XML document that do not break a digital signature but are<br>
mishandled by the SP and its libraries. These manipulations can alter<br>
the user data passed through to applications behind the SP and result<br>
in impersonation attacks and exposure of protected information.<br>
<br>
While the use of XML Encryption can serve as a mitigation for this bug,<br>
it may still be possible to construct attacks in such cases, and the SP<br>
does not provide a means to enforce its use.<br>
<br>
An updated version of XMLTooling-C (V1.6.3) is available that works<br>
around this specific bug.<br>
<br>
While newer versions of the parser are configured by the SP into<br>
disallowing the use of a DTD via an environment variable, this feature<br>
is not present in the parser used on some supported platforms (notably<br>
Red Hat and CentOS 7), so an additional fix is being provided now that<br>
an actual DTD exploit has been identified.<br>
<br>
While it is possible to determine whether one is already immune to this<br>
bug, the installation of this patch is a simpler step, and strongly<br>
encouraged. Notably, however "current" Windows installs of V2.6.0 and<br>
later are *not* impacted by the bug, so this patch can be treated as lower<br>
priority on that platform.<br>
<br>
This vulnerability has been assigned CVE-2018-0486.<br>
<br>
Recommendations<br>
===============<br>
Upgrade to V1.6.3 or later of the XMLTooling-C library and restart the<br>
affected processes (shibd, Apache, etc.)<br>
<br>
Linux installations relying on official RPM packages can upgrade to<br>
the latest package versions to obtain the fix.<br>
<br>
The MacPort has also been updated.<br>
<br>
Windows systems can upgrade to the latest Service Provider release<br>
(V2.6.1.3) which contains the appropriately updated libraries. [1]<br>
<br>
<br>
Credits<br>
=======<br>
Philip Huppert, RedTeam Pentesting<br>
<br>
[1] <a href="https://shibboleth.net/downloads/service-provider/2.6.1/" rel="noreferrer" target="_blank">https://shibboleth.net/downloa<wbr>ds/service-provider/2.6.1/</a><br>
<br>
URL for this Security Advisory:<br>
<a href="https://shibboleth.net/community/advisories/secadv_20180112.txt" rel="noreferrer" target="_blank">https://shibboleth.net/communi<wbr>ty/advisories/secadv_20180112.<wbr>txt</a><br>
<br>
-----BEGIN PGP SIGNATURE-----<br>
<br>
iQIzBAEBCgAdFiEE3KoVAHvtneaQzZ<wbr>UjN4uEVAIneWIFAlpY1OAACgkQN4uE<wbr>VAIn<br>
eWKIhw//RXdMFS0ez8N7+9b9HGoPdW<wbr>XVPvw+LGK0aVL2tkhHeRiDvzrIJng4<wbr>o/35<br>
Mm6e02dm4YI2U0aObUH9Ns0AQZLCzU<wbr>blOaVupysd0NWy0imvieJJHGDuoWLR<wbr>9DeP<br>
ehLH8FOKlGjNHGcmkf70JWpVWPFCdO<wbr>3J0PXdxrFey2dHbAu5Npf5aQanIvrE<wbr>tiDu<br>
lAvBrEJKasRxZ9zXjrc6Nl7C6Mk+7L<wbr>OuZLYj2XaQeriRxMWER5ArStdk4VCB<wbr>xq1G<br>
g3RELwdWxwRM3dCg+kQMZTkClvL/uY<wbr>wJbSrlk6JQus80drJ2u8tPjuRMFkhv<wbr>Bm15<br>
ylEU6d123vISZqRiKoVGsHhz9p3W+E<wbr>J5TfWwq8mrxHRLBwyvVVyHePT0aQmG<wbr>dxiC<br>
+uHp4jOiPYh0FLWNqRioo79rOtxpHK<wbr>QXMqCSoA9v9DtfESkYr/lw4mXcL+Zy<wbr>SY9n<br>
6UXVihz5PLMaqMXWuX590xGIcSpnih<wbr>MFBOGxymQ8CqNfUhrxZpHsrfh6b78i<wbr>qIV+<br>
EsOan7w5XJ9GifaOsVy2nT5u5TQ9KQ<wbr>pz9UFAUfNxQ4DiRk6x1sTPnLj0gSy+<wbr>ttn6<br>
S63QnT6PkIzGdgl+60BXmKiL+4vgYd<wbr>Betfe3o9ZPFL2zs4nVQxw20zqbyh2Z<wbr>ZZ3Z<br>
x9NrMwuDL6IUiK+pdfsVL5EL7UKokm<wbr>VKRDERit5ElrxzmpT25qA=<br>
=fxWs<br>
-----END PGP SIGNATURE-----<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:announce-unsubscribe@shibboleth.net" target="_blank">announce-unsubscribe@shibbolet<wbr>h.net</a><br>
<br>
</blockquote>
<br></div></div><span class="">
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/co<wbr>nfluence/x/coFAAg</a><br></span>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</blockquote></div><br></div>