CVE-2016-5752
WysokieStreszczenie
Implementacja SAML2 w Identity Server w NetIQ Access Manager 4.1 przed 4.1.2 HF1 oraz 4.2 przed 4.2.2 nieprawidłowo obsługiwała niesigned SAML requests, co prowadziło do ujawnienia wyników do potencjalnie złośliwego 'Assertion Consumer Service URL' zamiast do oryginalnego żądającego.
Ocena ryzyka
Organizacja może być narażona na ataki, w których złośliwe podmioty mogą uzyskać dostęp do wrażliwych danych poprzez niewłaściwe przekierowanie wyników SAML.
Rekomendacja
Zaleca się aktualizację do wersji 4.1.2 HF1 lub 4.2.2, aby zabezpieczyć się przed tą podatnością.
Inne podatności w NetIQ Access Manager
Zobacz wszystkie- CVE-2016-5758Wysokie
Mechanizm ochrony przed atakami typu cross site request forgery w NetIQ Access Manager 4.1 przed 4.1.2 Hot Fix 1 oraz 4.2 przed 4.2.2 mógł zostać obejściem poprzez wielokrotne przesyłanie, co prowadziło do wysokiego obciążenia.
- CVE-2016-5754Wysokie
Obecność pliku .htaccess w NetIQ Access Manager 4.1 przed wersją 4.1.2 Hot Fix 1 oraz 4.2 przed SP2 może prowadzić do wycieku informacji.
Oryginalny opis (angielski, źródło NVD)
The SAML2 implementation in Identity Server in NetIQ Access Manager 4.1 before 4.1.2 HF1 and 4.2 before 4.2.2 was handling unsigned SAML requests incorrectly, leaking results to a potentially malicious "Assertion Consumer Service URL" instead of the original requester.