CVE-2014-3527
KrytyczneStreszczenie
Podatność CVE-2014-3527 dotyczy uwierzytelniania za pomocą biletów proxy CAS w Spring Security w wersjach od 3.1 do 3.2.4. Złośliwa usługa CAS może oszukać inną usługę CAS, aby uwierzytelniła bilet proxy, który nie jest z nią powiązany, co prowadzi do obejścia ograniczeń kontroli dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp, jeśli nie są odpowiednio skonfigurowane ograniczenia dotyczące usług CAS. Użytkownicy, którzy nie korzystają z biletów proxy CAS, nie są narażeni na tę podatność.
Rekomendacja
Zaleca się przegląd i wzmocnienie konfiguracji usług CAS oraz upewnienie się, że kontrola dostępu jest oparta na zaufanych informacjach. Warto również rozważyć aktualizację do nowszej wersji Spring Security.
Oryginalny opis (angielski, źródło NVD)
When using the CAS Proxy ticket authentication from Spring Security 3.1 to 3.2.4 a malicious CAS Service could trick another CAS Service into authenticating a proxy ticket that was not associated. This is due to the fact that the proxy ticket authentication uses the information from the HttpServletRequest which is populated based upon untrusted information within the HTTP request. This means if there are access control restrictions on which CAS services can authenticate to one another, those restrictions can be bypassed. If users are not using CAS Proxy tickets and not basing access control decisions based upon the CAS Service, then there is no impact to users.