CVE-2022-45597
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece ComponentSpace.Saml2 4.4.0 polega na braku walidacji certyfikatów SSL. Producent nie uznaje tego za błąd, argumentując, że certyfikaty są wymieniane w kontrolowany sposób w ramach zaufanych relacji, a walidacja na poziomie aplikacji nie jest tak istotna jak na poziomie transportu.
Ocena ryzyka
Brak walidacji certyfikatów może umożliwić atakującemu podszycie się pod zaufaną stronę w procesie uwierzytelniania SAML, co prowadzi do ryzyka kradzieży tożsamości lub nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaleca się aktualizację do nowszej wersji biblioteki ComponentSpace.Saml2, która implementuje walidację certyfikatów, lub ręczne wdrożenie mechanizmu weryfikacji certyfikatów w aplikacji.
Oryginalny opis (angielski, źródło NVD)
ComponentSpace.Saml2 4.4.0 Missing SSL Certificate Validation. NOTE: the vendor does not consider this a vulnerability because the report is only about use of certificates at the application layer (not the transport layer) and "Certificates are exchanged in a controlled fashion between entities within a trust relationship. This is why self-signed certificates may be used and why validating certificates isn’t as important as doing so for the transport layer certificates."