[HREF-tech] Shibboleth frissítések

[Kristof Bajnok]

Kedves kollégák,

az elmúlt héten felfedeztek egy komolyabb hibát az opensaml-ban, ami érinti a 
Shibboleth IdP-t és az SP-t is. A hiba hatására tetszőleges SAML üzenetet 
lehet autentikáltnak (aláírottnak) elfogadtatni.

A hiba:
 - *csekély módon* érint az IdP-t, mivel az IdP általában nem XML aláírás 
alapján autentikálja az SP-ket.
 - *súlyosan* érinti a Shibboleth SP-t, mivel így a támadó védett tartalomhoz 
férhet hozzá.

A fejlesztők által kiadott kiadások (Redhat, SUSE, Windows) már a múlt héten 
frissültek, a hivatalos Debian kiadások szintén. Legtovább az általunk 
javasolt Debian backports tároló váratott magára, de már ott is friss a 
"libsaml6" csomag. Nagyon fontos, hogy mindenki frissítsen!

Üdv,
Kristóf