CVE-2025-24895

Krytyczne

Opublikowano: 18/02/2025(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

CIE.AspNetCore.Authentication to zdalny system uwierzytelniania dla CIE 3.0, oparty na standardzie SAML2. W dotkniętych wersjach nie ma gwarancji, że pierwszy podpis odnosi się do obiektu głównego, co pozwala atakującemu na wstrzyknięcie elementu podpisanego jako pierwszy, co skutkuje brakiem weryfikacji pozostałych podpisów.

Ocena ryzyka

Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do zasobów, ponieważ atakujący może manipulować podpisami SAML, co prowadzi do potencjalnych naruszeń bezpieczeństwa danych użytkowników.

Rekomendacja

Zaleca się aktualizację biblioteki cie-aspnetcore do najnowszej wersji, aby zapewnić poprawną weryfikację podpisów SAML oraz zwiększyć bezpieczeństwo systemu uwierzytelniania.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

CIE.AspNetCore.Authentication is an AspNetCore Remote Authenticator for CIE 3.0. Authentication using Spid and CIE is based on the SAML2 standard which provides two entities: 1. Identity Provider (IDP): the system that authenticates users and provides identity information (SAML affirmation) to the Service Provider, in essence, is responsible for the management of the credentials and identity of users; 2. Service Provider (SP): the system that provides a service to the user and relies on the Identity Provider to authenticate the user, receives SAML assertions from the IdP to grant access to resources. The library cie-aspnetcore refers to the second entity, the SP, and implements the validation logic of SAML assertions within SAML responses. In affected versions there is no guarantee that the first signature refers to the root object, it follows that if an attacker injects an item signed as the first element, all other signatures will not be verified. The only requirement is to have an X

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS