Improper Certificate Validation in Shibboleth Identity Provider and OpenSAML

中 4.3CVE-2015-1796 · GHSA-78fq-w796-q537 · 08/07/2015 公開 · 17/06/2026 更新

要点

CVE-2015-1796 は edu.internet2.middleware:shibboleth-identityprovider, org.opensaml:opensaml, identity provider (shibboleth) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 69.4% より高い）。
対処：2.4.4, 2.6.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
edu.internet2.middleware:shibboleth-identityprovider Maven	`< 2.4.4`	`2.4.4`
org.opensaml:opensaml Maven	`< 2.6.5`	`2.6.5`
identity provider shibboleth	`≤ 2.4.3`	修正版なし
opensaml java shibboleth	`≤ 2.6.4`	修正版なし

概要

The PKIX trust engines in Shibboleth Identity Provider before 2.4.4 and OpenSAML Java (OpenSAML-J) before 2.6.5 trust candidate X.509 credentials when no trusted names are available for the entityID, which allows remote attackers to impersonate an entity via a certificate issued by a shibmd:KeyAuthority trust anchor.

NVD の説明

参考情報

nvd.nist.gov/vuln/detail/CVE-2015-1796 · ADVISORY
shibboleth.net/community/advisories/secadv_20150225.txt · WEB
rhn.redhat.com/errata/RHSA-2015-1176.html · WEB
rhn.redhat.com/errata/RHSA-2015-1177.html · WEB
securityfocus.com/bid/75370

edu.internet2.middleware:shibboleth-identityprovider のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2015-1796 は edu.internet2.middleware:shibboleth-identityprovider, org.opensaml:opensaml, identity provider (shibboleth) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。

今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 69.4% より高い）。

対処：2.4.4, 2.6.5 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

edu.internet2.middleware:shibboleth-identityprovider

Maven

< 2.4.4

2.4.4

org.opensaml:opensaml

Maven

< 2.6.5