Jasig Java CAS Client, .NET CAS Client, and phpCAS contain URL parameter injection vulnerability

緊急 9.8CVE-2014-4172 · GHSA-9fc5-q25c-r2wr · 24/01/2020 公開 · 17/06/2026 更新

要点

CVE-2014-4172 は org.jasig.cas:cas-client, DotNetCasClient, jasig/phpcas に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：6.1%（全脆弱性の 93.4% より高い）。
対処：3.3.2, 1.0.2, 1.3.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jasig.cas:cas-client Maven	`< 3.3.2`	`3.3.2`
DotNetCasClient NuGet	`< 1.0.2`	`1.0.2`
jasig/phpcas Packagist	`< 1.3.3`	`1.3.3`
.net cas client apereo	`< 1.0.2`	`1.0.2`
java cas client apereo	`< 3.3.2`	`3.3.2`
phpcas apereo	`< 1.3.3`	`1.3.3`

概要

A URL parameter injection vulnerability was found in the back-channel ticket validation step of the CAS protocol in Jasig Java CAS Client before 3.3.2, .NET CAS Client before 1.0.2, and phpCAS before 1.3.3 that allow remote attackers to inject arbitrary web script or HTML via the (1) service parameter to validation/AbstractUrlBasedTicketValidator.java or (2) pgtUrl parameter to validation/Cas20ServiceTicketValidator.java.

NVD の説明