NVD Vulnerability Detail

CVE-2013-6440

Summary	The (1) BasicParserPool, (2) StaticBasicParserPool, (3) XML Decrypter, and (4) SAML Decrypter in Shibboleth OpenSAML-Java before 2.6.1 set the expandEntityReferences property to true, which allows remote attackers to conduct XML external entity (XXE) attacks via a crafted XML DOCTYPE declaration.
Publication Date	Feb. 15, 2014, 12:55 a.m.
Registration Date	Jan. 26, 2021, 3:47 p.m.
Last Update	Nov. 21, 2024, 10:59 a.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource	タグ
1	http://blog.sendsafely.com/post/69590974866/web-based-single-sign-on-and-the-dangers-of-saml-xml
2	http://blog.sendsafely.com/post/69590974866/web-based-single-sign-on-and-the-dangers-of-saml-xml
3	http://rhn.redhat.com/errata/RHSA-2014-0170.html
4	http://rhn.redhat.com/errata/RHSA-2014-0170.html
5	http://rhn.redhat.com/errata/RHSA-2014-0171.html
6	http://rhn.redhat.com/errata/RHSA-2014-0171.html
7	http://rhn.redhat.com/errata/RHSA-2014-0172.html
8	http://rhn.redhat.com/errata/RHSA-2014-0172.html
9	http://rhn.redhat.com/errata/RHSA-2014-0195.html
10	http://rhn.redhat.com/errata/RHSA-2014-0195.html
11	http://shibboleth.net/community/advisories/secadv_20131213.txt
12	http://shibboleth.net/community/advisories/secadv_20131213.txt
13	https://bugzilla.redhat.com/show_bug.cgi?id=1043332
14	https://bugzilla.redhat.com/show_bug.cgi?id=1043332
15	https://www.oracle.com/security-alerts/cpujan2022.html
16	https://www.oracle.com/security-alerts/cpujan2022.html

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-200	情報漏えい	https://cwe.mitre.org/data/definitions/200.html

JVN Vulnerability Information

Shibboleth OpenSAML-Java における XML 外部エンティティ (XXE) 攻撃を実行される脆弱性

Title	Shibboleth OpenSAML-Java における XML 外部エンティティ (XXE) 攻撃を実行される脆弱性
Summary	Shibboleth OpenSAML-Java の (1) BasicParserPool、(2) StaticBasicParserPool、(3) XML Decrypter、および (4) SAML Decrypter は、expandEntityReferences プロパティに true を設定するため、XML 外部エンティティ (XXE) 攻撃を実行される脆弱性が存在します。
Possible impacts	第三者により、巧妙に細工された XML DOCTYPE 宣言を介して、XML 外部エンティティ (XXE) 攻撃を実行される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Dec. 13, 2013, midnight
Registration Date	Feb. 19, 2014, 12:03 p.m.
Last Update	Aug. 10, 2015, 4:30 p.m.

Affected System

Shibboleth

OpenSAML -Java 2.6.1 未満

Internet2

OpenSAML -Java 2.6.1 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2013-6440	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-6440
National Vulnerability Database (NVD)
2	CVE-2013-6440	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6440

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-200	https://jvndb.jvn.jp/ja/cwe/CWE-200.html

ベンダー情報

No	Name	URL
Internet2
1	Shibboleth	http://www.internet2.edu/products-services/trust-identity-middleware/shibboleth/
Red Hat Bugzilla
2	Bug 1043332	https://bugzilla.redhat.com/show_bug.cgi?id=1043332
Red Hat Security Advisory
3	RHSA-2014:0170	http://rhn.redhat.com/errata/RHSA-2014-0170.html
4	RHSA-2014:0171	http://rhn.redhat.com/errata/RHSA-2014-0171.html
5	RHSA-2014:0172	http://rhn.redhat.com/errata/RHSA-2014-0172.html
6	RHSA-2014:0195	https://rhn.redhat.com/errata/RHSA-2014-0195.html
Shibboleth
7	OpenSAML-J Security Advisory [ 13 December 2013 ]	http://shibboleth.net/community/advisories/secadv_20131213.txt

その他

No	Name	URL
関連文書
1	Web-based Single Sign-On and the Dangers of SAML XML Parsing	http://blog.sendsafely.com/post/69590974866/web-based-single-sign-on-and-the-dangers-of-saml-xml

Change Log

No	Changed Details	Date of change
0	[2014年02月19日] 掲載 [2015年08月10日] ベンダ情報：レッドハット (RHSA-2014:0195) を追加	Feb. 17, 2018, 10:37 a.m.