CVE-2026-54774

Podatność w bibliotece CoreWCF (port WCF do .NET Core) przed wersjami 1.8.1 i 1.9.1 powoduje, że walidacja tokenów SAML 1.1 i SAML 2.0 nieprawidłowo weryfikuje klucz podpisu wystawcy ani nie wymaga podpisanych tokenów, gdy używane jest IdentityConfiguration z federacyjnymi powiązaniami. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu podszyć się pod dowolnego podmiot, który mógłby być wystawiony przez zaufane STS.

W bibliotece CoreWCF w wersji 1.9.0 negocjacja tokena SecurityContextToken w mechanizmie SPNEGO może ujawnić klucz dowodu odzyskany z komunikatu RSTR, gdy używane są poświadczenia klienta Windows z TransportWithMessageCredential i ustanawianie sesji. Pozwala to obserwatorowi na podszycie się pod uwierzytelnionego użytkownika Windows oraz odszyfrowanie lub fałszowanie ruchu WS-SecureConversation.

Podatność w CoreWCF przed wersjami 1.8.1 i 1.9.1 pozwala atakującemu na powtórne użycie przechwyconej podpisanej koperty SOAP do wykonania dowolnych operacji usługi jako ofiara. Problem wynika z braku weryfikacji, czy podpis ds:Signature obejmuje oczekiwany cel nagłówka Security.

Podatność w bibliotece CoreWCF przed wersjami 1.8.1 i 1.9.1 umożliwia pominięcie walidacji metody potwierdzenia podmiotu (SubjectConfirmation) oraz kluczy dowodu posiadania (holder-of-key) w tokenach SAML. Atakujący może wykorzystać tę lukę do degradacji mechanizmu holder-of-key lub użycia niestandardowej metody potwierdzenia, aby uwierzytelnić się bez faktycznego posiadania uprawnień do asercji.

Podatność w bibliotece CoreWCF (port WCF dla .NET Core) w wersjach przed 1.8.1 i 1.9.1. Mechanizm walidacji WS-Security 1.0 sprawdza algorytm podpisu (SignatureMethod) w ds:SignedInfo, ale nie weryfikuje algorytmu skrótu (DigestMethod) w każdym ds:Reference. Pozwala to atakującemu na użycie odrzuconego algorytmu skrótu (np. SHA-1) przy jednoczesnym zaakceptowaniu wiadomości.

Podatność w bibliotece CoreWCF powoduje, że ochrona przed ponownym użyciem tokenów SAML nie działa poprawnie. Metoda DefaultTokenReplayCache.TryAdd nie odrzuca duplikatów tokenów, nawet gdy funkcja DetectReplayedTokens jest włączona, co umożliwia ponowne wykorzystanie przechwyconego tokena.

Podatność w bibliotece CoreWCF przed wersjami 1.8.1 i 1.9.1 powoduje, że rozpoznawanie tożsamości peerów dla gniazd domeny Unix (UnixDomainSocket) używa niereentrantnych wywołań getpwuid i getgrgid. W warunkach rywalizacji (concurrency) może to prowadzić do przypisania tożsamości jednego połączenia do innego lub do awarii procesu hosta.

Podatność w CoreWCF pozwala na pominięcie uwierzytelniania tożsamości PosixIdentity w usługach hostowanych na gniazdach Unix Domain. Atakujący może wysyłać wiadomości bez wymaganego uaktualnienia strumienia, co omija kontrole warstwy ramkowej.

Podatność w CoreWCF umożliwia atakującemu z uprawnieniami do produkcji wiadomości Kafka spowodowanie trwałej odmowy usługi (DoS) na punkcie końcowym. Gdy KafkaTransportPump otrzyma rekord typu null-value tombstone, usługa przestaje przetwarzać nowe rekordy z tematu Kafka.

Podatność w CoreWCF przed wersjami 1.8.1 i 1.9.1 umożliwia nieuwierzytelnionemu atakującemu zdalne ominięcie weryfikacji podpisu WS-Security poprzez umieszczenie nagłówka SOAP przed nagłówkiem wsse:Security, co prowadzi do weryfikacji podpisu dostarczonego przez atakującego zamiast podpisu nagłówka bezpieczeństwa.