CVE-2023-34205
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W Moov signedxml w wersji do 1.0.0, analiza surowego XML może prowadzić do innego wyniku niż analiza znormalizowanego XML. To umożliwia obejście walidacji podpisu poprzez atak Signature Wrapping (XSW).
Ocena ryzyka
Organizacja może być narażona na ataki, które pozwalają na fałszowanie podpisów, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Moov signedxml, aby zlikwidować tę podatność oraz wdrożenie dodatkowych mechanizmów weryfikacji podpisów.
Oryginalny opis (angielski, źródło NVD)
In Moov signedxml through 1.0.0, parsing the raw XML (as received) can result in different output than parsing the canonicalized XML. Thus, signature validation can be bypassed via a Signature Wrapping attack (aka XSW).