CVE-2026-54779

Podatność w bibliotece CoreWCF (port WCF do .NET Core) przed wersjami 1.8.1 i 1.9.1 powoduje, że walidacja tokenów SAML 1.1 i SAML 2.0 nieprawidłowo weryfikuje klucz podpisu wystawcy ani nie wymaga podpisanych tokenów, gdy używane jest IdentityConfiguration z federacyjnymi powiązaniami. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu podszyć się pod dowolnego podmiot, który mógłby być wystawiony przez zaufane STS.

W bibliotece CoreWCF w wersji 1.9.0 negocjacja tokena SecurityContextToken w mechanizmie SPNEGO może ujawnić klucz dowodu odzyskany z komunikatu RSTR, gdy używane są poświadczenia klienta Windows z TransportWithMessageCredential i ustanawianie sesji. Pozwala to obserwatorowi na podszycie się pod uwierzytelnionego użytkownika Windows oraz odszyfrowanie lub fałszowanie ruchu WS-SecureConversation.

Podatność w CoreWCF przed wersjami 1.8.1 i 1.9.1 pozwala atakującemu na powtórne użycie przechwyconej podpisanej koperty SOAP do wykonania dowolnych operacji usługi jako ofiara. Problem wynika z braku weryfikacji, czy podpis ds:Signature obejmuje oczekiwany cel nagłówka Security.

Podatność w bibliotece CoreWCF przed wersjami 1.8.1 i 1.9.1 umożliwia pominięcie walidacji metody potwierdzenia podmiotu (SubjectConfirmation) oraz kluczy dowodu posiadania (holder-of-key) w tokenach SAML. Atakujący może wykorzystać tę lukę do degradacji mechanizmu holder-of-key lub użycia niestandardowej metody potwierdzenia, aby uwierzytelnić się bez faktycznego posiadania uprawnień do asercji.

Podatność w bibliotece CoreWCF (port WCF dla .NET Core) w wersjach przed 1.8.1 i 1.9.1. Mechanizm walidacji WS-Security 1.0 sprawdza algorytm podpisu (SignatureMethod) w ds:SignedInfo, ale nie weryfikuje algorytmu skrótu (DigestMethod) w każdym ds:Reference. Pozwala to atakującemu na użycie odrzuconego algorytmu skrótu (np. SHA-1) przy jednoczesnym zaakceptowaniu wiadomości.

Podatność w bibliotece CoreWCF przed wersjami 1.8.1 i 1.9.1 powoduje, że rozpoznawanie tożsamości peerów dla gniazd domeny Unix (UnixDomainSocket) używa niereentrantnych wywołań getpwuid i getgrgid. W warunkach rywalizacji (concurrency) może to prowadzić do przypisania tożsamości jednego połączenia do innego lub do awarii procesu hosta.

Podatność w CoreWCF pozwala na pominięcie uwierzytelniania tożsamości PosixIdentity w usługach hostowanych na gniazdach Unix Domain. Atakujący może wysyłać wiadomości bez wymaganego uaktualnienia strumienia, co omija kontrole warstwy ramkowej.

Podatność w CoreWCF umożliwia atakującemu z uprawnieniami do produkcji wiadomości Kafka spowodowanie trwałej odmowy usługi (DoS) na punkcie końcowym. Gdy KafkaTransportPump otrzyma rekord typu null-value tombstone, usługa przestaje przetwarzać nowe rekordy z tematu Kafka.

Podatność w bibliotece CoreWCF pozwala na pominięcie weryfikacji podpisu SAML, gdy używany jest token podpisujący inny niż X.509. Atakujący może odwołać się do identyfikatora klucza SecurityToken innego niż X.509 i ominąć weryfikację podpisu asercji.

Podatność w CoreWCF przed wersjami 1.8.1 i 1.9.1 umożliwia nieuwierzytelnionemu atakującemu zdalne ominięcie weryfikacji podpisu WS-Security poprzez umieszczenie nagłówka SOAP przed nagłówkiem wsse:Security, co prowadzi do weryfikacji podpisu dostarczonego przez atakującego zamiast podpisu nagłówka bezpieczeństwa.