GLSA 201801-11: PySAML2: Security bypass

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	PySAML2: Security bypass
Дата:	11.01.2018
Ошибки:	#644016
ID:	201801-11

Сводка

A vulnerability in PySAML2 might allow remote attackers to bypass authentication.

Назначение

PySAML2 is a pure python implementation of SAML2

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-python/pysaml2	< 4.0.2-r3	>= 4.0.2-r3	All supported architectures

Описание

It was found that the PySAML2 relies on an assert statement to check the user’s password. A python optimizations might remove this assertion.

Воздействие

A remote attacker could bypass security restrictions and access any application which is using PySAML2 for authentication.

Обход

Disable python optimizations.

Решение

All PySAML2 4.0 users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-python/pysaml2-4.0.2-r3"

All PySAML2 4.5 users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-python/pysaml2-4.5.0"

Ссылки

CVE-2017-1000433

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201801-11.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.