CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-27978
https://notcve.org/view.php?id=CVE-2020-27978
Shibboleth Identify Provider 3.x before 3.4.6 has a denial of service flaw. A remote unauthenticated attacker can cause a login flow to trigger Java heap exhaustion due to the creation of objects in the Java Servlet container session. Shibboleth Identify Provider versiones 3.x anteriores a 3.4.6, presenta un fallo de denegación de servicio. Un atacante remoto no autenticado puede causar un flujo de inicio de sesión para desencadenar un agotamiento de la pila de Java debido a la creación de objetos en la sesión del contenedor Java Servlet • https://shibboleth.net/community/advisories/secadv_20191002.txt • CWE-770: Allocation of Resources Without Limits or Throttling •
CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 1CVE-2019-19191
https://notcve.org/view.php?id=CVE-2019-19191
Shibboleth Service Provider (SP) 3.x before 3.1.0 shipped a spec file that calls chown on files in a directory controlled by the service user (the shibd account) after installation. This allows the user to escalate to root by pointing symlinks to files such as /etc/shadow. Shibboleth Service Provider (SP) versiones 3.x anteriores a 3.1.0, envió un archivo de especificaciones que llama a chown sobre archivos en un directorio controlado por el usuario del servicio (la cuenta shibd) después de la instalación. Esto permite al usuario escalar a root al apuntar enlaces simbólicos en archivos tales como /etc/shadow. • http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00017.html https://bugzilla.suse.com/show_bug.cgi?id=1157471 https://issues.shibboleth.net/jira/browse/SSPCPP-874 • CWE-59: Improper Link Resolution Before File Access ('Link Following') •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 0CVE-2010-2450
https://notcve.org/view.php?id=CVE-2010-2450
The keygen.sh script in Shibboleth SP 2.0 (located in /usr/local/etc/shibboleth by default) uses OpenSSL to create a DES private key which is placed in sp-key.pm. It relies on the root umask (default 22) instead of chmoding the resulting file itself, so the generated private key is world readable by default. El script keygen.sh en Shibboleth SP 2.0 (ubicado en /usr/local/etc/shibboleth por defecto) utiliza OpenSSL para crear una clave privada DES que es colocada en el archivo sp-key.pm. Se basa en la umask root (predeterminado 22) en lugar de chmoding del archivo resultante en sí mismo, por lo que la clave privada generada es de tipo world readable por defecto. • https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=571631 https://security-tracker.debian.org/tracker/CVE-2010-2450 https://todos.internet2.edu/browse/SSPCPP-106 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-916: Use of Password Hash With Insufficient Computational Effort •
CVSS: 5.9EPSS: 0%CPEs: 2EXPL: 1CVE-2014-3603
https://notcve.org/view.php?id=CVE-2014-3603
The (1) HttpResource and (2) FileBackedHttpResource implementations in Shibboleth Identity Provider (IdP) before 2.4.1 and OpenSAML Java 2.6.2 do not verify that the server hostname matches a domain name in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-the-middle attackers to spoof SSL servers via an arbitrary valid certificate. Las implementaciones de (1) HttpResource y (2) FileBackedHttpResource en el Proveedor de Identidad (IdP) de Shibboleth, en versiones anteriores a la 2.4.1, y en OpenSAML Java, en su versión 2.6.2, no verifican que el nombre de host del servidor se corresponda con un nombre de dominio en el campo "Common Name" (CN) del asunto o en el campo "subjectAltName" del certificado X.509. Esto permite a los atacantes Man-in-the-Middle (MitM) suplantar los servidores SSL a través de un certificado arbitrario válido. • http://secunia.com/advisories/60816 http://shibboleth.net/community/advisories/secadv_20140813.txt https://bugzilla.redhat.com/show_bug.cgi?id=1131823 • CWE-297: Improper Validation of Certificate with Host Mismatch •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2018-0489
https://notcve.org/view.php?id=CVE-2018-0489
Shibboleth XMLTooling-C before 1.6.4, as used in Shibboleth Service Provider before 2.6.1.4 on Windows and other products, mishandles digital signatures of user data, which allows remote attackers to obtain sensitive information or conduct impersonation attacks via crafted XML data. NOTE: this issue exists because of an incomplete fix for CVE-2018-0486. Shibboleth XMLTooling-C en versiones anteriores a la 1.6.4, tal y como se emplea en Shibboleth Service Provider en versiones anteriores a la 2.6.1.4 en Windows y otros productos, gestiona de manera incorrecta las firmas digitales de datos de usuario. Esto permite que atacantes remotos obtengan información sensible o lleven a cabo ataques de suplantación mediante datos XML manipulados. NOTA: este problema existe debido a una solución incompleta para CVE-2018-0486. • http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2018-003.txt http://www.securityfocus.com/bid/103172 http://www.securitytracker.com/id/1040435 https://lists.debian.org/debian-lts-announce/2018/02/msg00031.html https://shibboleth.net/community/advisories/secadv_20180227.txt https://www.debian.org/security/2018/dsa-4126 • CWE-347: Improper Verification of Cryptographic Signature •