SSOReady CVE-2024-47832 ve Ruby-SAML CVE-2024-45409

 

SSOReady CVE-2024-47832 ve Ruby-SAML CVE-2024-45409

CVE-2024-47832, Docker üzerinden uygulanan tek oturum açma sağlayıcısı SSOReady'yi etkileyen önemli bir güvenlik açığıdır. Bu güvenlik açığı,  belirli koşullar karşılandığında IDP imzalı iletilerin bütünlüğünü tehlikeye atabilen XML imza atlama saldırılarına olanak tanır . Özellikle, bir saldırgan belirli imzalı iletilere erişim elde ederse, güvenlik önlemlerini atlatmak için XML ayrıştırıcılarının farklı davranışlarını kullanabilir.

Etkilenen Sürümler ve Etkisi

Güvenlik açığı öncelikle SSOReady'nin kendi kendine barındırılan örneklerini etkiler.  https://ssoready.com adresindeki genel olarak barındırılan örneğin kullanıcıları  etkilenmez. SSOReady'yi kendi kendine barındıranlar için önerilen eylem,  Docker görüntülerini buna göre güncelleyerek 7f92a06  veya sonraki sürüme yükseltmektir. Bu güvenlik açığı için şu anda bilinen bir geçici çözüm yoktur, bu da acil yükseltmeleri kritik hale getirir.

Teknik Detaylar

Saldırının Mekanizması

CVE-2024-47832'nin altta yatan mekanizması, çeşitli XML ayrıştırıcılarının XML imzalarını nasıl işlediklerindeki farklılıklardan yararlanır. Bir saldırgan, meşru imzaları kötü amaçlı bir özel anahtar kullanılarak oluşturulanlarla değiştirerek bir XML belgesini manipüle edebilir. Bu, kötü amaçlı sertifikanın   birçok ayrıştırıcının varsayılan olarak güvendiği XML belgesinin öğesine yerleştirilmesiyle kolaylaştırılır.<KeyInfo />Örneğin, bir saldırgan imzalanmış bir XML belgesini aşağıdaki şekilde değiştirebilir:

xml
<ds:Signature>
    <ds:SignedInfo>
        <ds:Reference URI="#id12345">
            ...
        </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue>malicious_signature_value</ds:SignatureValue>
    <ds:KeyInfo>
        <ds:X509Data>
            <ds:X509Certificate>malicious_certificate</ds:X509Certificate>
        </ds:X509Data>
    </ds:KeyInfo>
</ds:Signature>

Bu senaryoda saldırganın sertifikası XML ayrıştırıcısı tarafından kabul edilebilir ve bu da sahte imzaya dayalı olarak yetkisiz erişime veya eylem yapılmasına yol açabilir.

İlgili Güvenlik Açıklarıyla Karşılaştırma

CVE-2024-47832, XML imza işlemeyle ilgili daha geniş bir güvenlik açığı örüntüsünün bir parçasıdır. Örneğin, CVE-2024-45409, Ruby-SAML uygulamalarını etkiledi ve saldırganların benzer XML imza sarmalama saldırıları aracılığıyla rastgele kullanıcılar olarak oturum açmasına izin verdi. Her iki güvenlik açığı da XML imzalarının farklı kitaplıklar ve çerçeveler arasında nasıl işlendiği ve doğrulandığına ilişkin sistemsel kusurları vurgular.

Güvenlik Açığı	Etkilenen Sistem	Saldırı Türü	Önerilen Eylem
CVE-2024-47832	SSOHazır	XML İmza Baypası	7f92a06 veya sonraki sürüme yükseltin
CVE-2024-45409	Ruby-SAML	XML İmza Sarma	Ruby-SAML kitaplığını yükseltin

Öneriler

1. Hemen Yükseltme : Kullanıcılar, kendi barındırdıkları SSOReady örneklerini 7f92a06 veya sonraki bir sürüme yükseltmelidir.
2. Güvenlik Uyarılarını İzleyin : XML imza güvenlik açıklarıyla ilgili herhangi bir gelişmeden haberdar olun.
3. Ek Doğrulama Uygulayın : XML imzalarıyla ilişkili riskleri azaltmak için varsayılan yapılandırmaların sağladığı adımların ötesinde ek doğrulama adımları uygulamayı düşünün.

Çözüm

CVE-2024-47832, XML imza işleme ve doğrulamasıyla ilişkili devam eden zorlukları vurgular. Saldırganlar bu güvenlik açıklarını istismar etmeye devam ettikçe, geliştiricilerin ve kuruluşların güvenlik güncellemelerine öncelik vermesi ve olası istismarlara karşı korunmak için XML imzalarını işlemede en iyi uygulamaları benimsemesi hayati önem taşımaktadır.

• https://github.com/node-saml/xml-crypto/security/advisories/GHSA-2xp3-57p7-qf4v
• https://ssoready.com/blog/engineering/xml-dsig-is-unfortunate/
• https://ssoready.com/blog/engineering/Ruby-saml-pwned-by-xml-signature-wrapping-attacks/