搜索

[4882] 2018-03-04_SAML漏洞：允许攻击者以其他用户身份实现登录

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-03-04_SAML漏洞：允许攻击者以其他用户身份实现登录 S A M L 漏 洞 ： 允 许 攻 击 者 以 其 他 用 户 身 份 实 现 登 录 原 创   E 安 全   E 安 全   2 0 1 8 - 0 3 - 0 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 3 月 4 日 讯   美 国 网 络 安 全 公 司   D u o   L a b s   与 美 国 计 算 机 紧 急 响 应 小 组 协 调 中 心 （ 简 称 C E R T / C C ） 的 安 全 研 究 人 员 们 日 前 发 布 安 全 公 告 ， 详 尽 描 述 了 新 的   S A M L   安 全 漏 洞 。 此 项 漏 洞 允 许 恶 意 攻 击 者 在 无 需 知 晓 受 害 者 密 码 内 容 的 前 提 下 以 合 法 用 户 身 份 完 成 登 录 验 证 。 此 项 漏 洞 影 响 到   S A M L （ 即 安 全 声 明 标 记 语 言 ） ， 这 是 一 种 基 于   X M L   的 标 记 语 言 ， 常 被 用 于 在 各 方 之 间 交 换 身 份 验 证 与 授 权 数 据 。 S A M L   最 为 重 要 的 用 例 体 现 在 单 点 登 录 （ 简 称 S S O ） 解 决 方 案 当 中 。 此 类 解 决 方 案 允 许 用 户 利 用 单 一 身 份 实 现 帐 户 登 录 。 与 其 它 共 享 身 价 验 证 方 案 （ 例 如 O A u t h 、 O p e n I D 、 O p e n I D   C o n n e c t   以 及   F a c e b o o k   C o n n e c t ） 不 同 ， 单 点 登 录 会 将 用 户 的 身 份 信 息 存 储 在 用 户 帐 户 所 在 的 中 央 服 务 器 当 中 。 当 用 户 尝 试 登 录 其 它 企 业 应 用 时 ， 对 应 应 用 （ 即 服 务 供 应 方 ， 简 称 S P ） 会 通 过   S A M L   向 本 地 单 点 登 录 服 务 器 （ 即 身 份 供 应 方 ， 简 称 I d P ） 发 送 请 求 。 缺 陷 源 自 缺 陷 源 自 X M L 注 释 处 理 机 制 注 释 处 理 机 制 同 一 天 ， D u o   L a b s   研 究 人 员 发 布 另 一 份 报 告 显 示 ， 他 们 发 现 的 了 一 个 设 计 缺 陷 ， 该 缺 陷 影 响 到 各 类 单 点 登 录 软 件 以 及 部 分 用 于 支 持 基 于   S A M L   的 单 点 登 录 操 作 的 开 源 库 。 此 项 缺 陷 源 自 这 些 库 在 处 理   S A M L   响 应 请 求 时 向 其 中 插 入   X M L   注 释 的 设 计 特 点 。 举 例 来 说 ， 一 旦 攻 击 者 以 对 用 户 名 造 成 破 坏 的 方 式 向 用 户 名 称 内 插 入 注 释 ， 则 有 可 能 将 借 此 获 得 访 问 合 法 用 户 帐 户 的 能 力 。 攻 击 利 用 这 项 安 全 漏 洞 的 惟 一 先 决 条 件 ， 在 于 其 需 要 在 受 害 者 网 络 当 中 拥 有 一 个 注 册 帐 号 。 通 过 这 种 方 式 ， 攻 击 者 即 可 查
询   S A M L   供 应 方 并 伪 造 请 求 ， 从 而 “ 作 为 其 他 用 户 进 行 身 份 验 证 ， 最 终 骗 过   S A M L   系 统 ” 。 受 此 缺 陷 影 响 的 多 家 供 应 商 、 开 源 库 受 此 缺 陷 影 响 的 多 家 供 应 商 、 开 源 库 D u o   L a b s   的 研 究 人 员 们 表 示 ， 他 们 发 现 了 多 家 易 受 此 类 攻 击 活 动 影 响 的 单 点 登 录 供 应 商 。 具 体 来 讲 ， 使 用 以 下 库 以 解 析 S A M L   基 于   X M L   身 份 验 证 的 供 应 商 皆 存 在 安 全 风 险 ： O n e L o g i n   -   p y t h o n - s a m l   -   C V E - 2 0 1 7 - 1 1 4 2 7 O n e L o g i n   -   r u b y - s a m l   -   C V E - 2 0 1 7 - 1 1 4 2 8 C l e v e r   -   s a m l 2 - j s   -   C V E - 2 0 1 7 - 1 1 4 2 9 O m n i A u t h - S A M L   -   C V E - 2 0 1 7 - 1 1 4 3 0 S h i b b o l e t h   -   C V E - 2 0 1 8 - 0 4 8 9 D u o   N e t w o r k   G a t e w a y   -   C V E - 2 0 1 8 - 7 3 4 0 D u o   L a b s   方 面 表 示 ， 此 项 缺 陷 并 不 会 影 响 到 全 部 基 于   S A M L   的 单 点 登 录 方 案 供 应 商 。 因 为 这 项 缺 陷 在 很 多 情 况 下 几 乎 不 可 能 被 利 用 。 S A M L   身 份 供 应 方 与 服 务 供 应 方 通 常 拥 有 极 高 的 可 配 置 性 ， 管 理 人 员 能 够 对 影 响 范 围 进 行 有 效 控 制 。 如 何 避 免 受 到 漏 洞 影 响 ？ 如 何 避 免 受 到 漏 洞 影 响 ？ 研 究 人 员 们 建 议 称 ， 用 户 应 禁 用 敏 感 网 络 上 的 用 户 帐 户 公 开 注 册 机 制 ， 并 以 手 动 方 式 审 查 每 一 位 用 户 ， 从 而 避 免 攻 击 者 抢 先 在 其 内 部 网 络 当 中 完 成 帐 户 注 册 。 如 果 无 法 实 现 上 述 目 标 ， 网 络 管 理 员 则 可 配 置 一 份 可 接 受 的 电 子 邮 件 地 址 域 名 白 名 单 ， 从 而 限 制 哪 些 人 能 够 在 网 络 之 上 注 册 。 不 过 这 种 办 法 同 样 不 是 特 别 可 靠 ， 某 些 攻 击 者 仍 能 找 到 有 效 的 回 避 方 法 。 此 类 攻 击 不 会 影 响 到 受 双 因 素 身 份 验 证 （ 简 称 2 F A ） 解 决 方 案 保 护 的 帐 户 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 3 3 4 1 4 2 8 3 0 . s h t m l 推 荐 阅 读 ： C P U 漏 洞 变 种 攻 击 ： M e l t d o w n P r i m e 和 S p e c t r e P r i m e ( 含 P o C ) 某 智 能 情 趣 用 品 曝 严 重 漏 洞 ， 还 能 不 能 愉 快 地 自 嗨 了 ! 全 球 企 业 网 络 安 全 趋 势 纵 览 ： 谨 防 数 据 泄 露 美 国 “ 0 D a y 漏 洞 披 露 法 案 ” 已 获 得 众 议 院 通 过 零 日 计 划 ( Z D I ) 2 0 1 7 年 发 布 1 0 0 9 份 漏 洞 报 告 知 名 银 行 A p p 被 曝 漏 洞 ， 上 千 万 用 户 面 临 密 码 盗 窃 风 险
扎 你 心 的 漏 洞 ， 还 不 来 看 看 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理