CVE-2016-4464
KrytyczneStreszczenie
Wtyczki aplikacji w Apache CXF Fediz w wersjach 1.2.x przed 1.2.3 oraz 1.3.x przed 1.3.1 nie porównują wartości SAML AudienceRestriction z skonfigurowanymi URI odbiorców, co może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń za pomocą spreparowanego tokena SAML z zaufanym podpisem.
Ocena ryzyka
Organizacja może być narażona na ataki, które wykorzystują lukę do obejścia zabezpieczeń, co może prowadzić do nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaleca się aktualizację Apache CXF Fediz do wersji 1.2.3 lub 1.3.1, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
The application plugins in Apache CXF Fediz 1.2.x before 1.2.3 and 1.3.x before 1.3.1 do not match SAML AudienceRestriction values against configured audience URIs, which might allow remote attackers to have bypass intended restrictions and have unspecified other impact via a crafted SAML token with a trusted signature.