Alert GCSA-18017 - Shibboleth Service Provider security advisory

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

Alert ID: GCSA-18017
Data: 2 marzo 2018
Titolo: Shibboleth Service Provider security advisory

******************************************************************

:: Descrizione del problema

E' stata individuata una vulnerabilità nelle librerie XML utilizzate 
dal software Shibboleth Service Provider.

La vulnerabilità permette di bypassare il controllo di sicurezza 
della firma digitale dando ad un attaccante la possibilità di i
impersonare un altro utente ed ottenere informazioni confidenziali.

Maggiori dettagli sono disponibili nella segnalazione
ufficiale alla sezione "Riferimenti".


:: Software interessato

 Shibboleth Service Provider con librerie XMLTooling-C 
   in versione precedente alla V1.6.4


:: Impatto

  Digital signature verification bypass


:: Soluzioni

  Aggiornare alla versione V1.6.4 o successiva le librerie XMLTooling-C 
  e riavviare tutti i processi che ne fanno uso (shibd, Apache, etc.)


:: Riferimenti

  Shibboleth Service Provider Security Advisory
https://shibboleth.net/community/advisories/secadv_20180227.txt
https://shibboleth.net/community/advisories/secadv_20180112.txt

  Cert.org
https://www.kb.cert.org/vuls/id/475445

  Securitytracker
https://securitytracker.com/id/1040435

  Mitre CVE
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0489


GARR CERT Security Alert - subscribe/unsubscribe:
  http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1

iEYEARECAAYFAlqZKHEACgkQwZxMk2USYELnJwCeKjsOELc6ajRXw+9lQ0fsMXll
tzMAnAs8ZLgq5AIkdjvr9idZS5NKjH/t
=t1mw
-----END PGP SIGNATURE-----