CVE-2017-12868
KrytyczneStreszczenie
Metoda secureCompare w lib/SimpleSAML/Utils/Crypto.php w SimpleSAMLphp w wersji 1.14.13 i wcześniejszych, używana z PHP przed wersją 5.6, umożliwia atakującym przeprowadzenie ataków na ustalanie sesji lub potencjalne ominięcie uwierzytelnienia z powodu brakujących konwersji znaków przed operacją XOR.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które pozwalają na przejęcie sesji użytkowników lub ominięcie mechanizmów uwierzytelniających, co może prowadzić do nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaleca się aktualizację SimpleSAMLphp do najnowszej wersji oraz użycie PHP w wersji 5.6 lub nowszej, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
The secureCompare method in lib/SimpleSAML/Utils/Crypto.php in SimpleSAMLphp 1.14.13 and earlier, when used with PHP before 5.6, allows attackers to conduct session fixation attacks or possibly bypass authentication by leveraging missing character conversions before an XOR operation.