CVE-2022-37011

Mendix SAML — pominięcie uwierzytelnienia przez replay attack

CVSS 9.8v3.1pub. 2022-09-13upd. 2024-11-21

Moduł Mendix SAML niedostatecznie chroni przed atakiem typu packet capture replay, co umożliwia nieuwierzytelnionemu atakującemu zdalne ominięcie mechanizmu logowania. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A vulnerability has been identified in Mendix SAML (Mendix 7 compatible) (All versions < V1.17.0), Mendix SAML (Mendix 8 compatible) (All versions < V2.3.0), Mendix SAML (Mendix 9 compatible, New Track) (All versions < V3.3.1), Mendix SAML (Mendix 9 compatible, Upgrade Track) (All versions < V3.3.0). Affected versions of the module insufficiently protect from packet capture replay. This could allow unauthorized remote attackers to bypass authentication and get access to the application. For compatibility reasons, fix versions still contain this issue, but only when the not recommended, non default configuration option `'Allow Idp Initiated Authentication'` is enabled.

🤖 Analiza AI

Jak działa

Atakujący przechwytuje pakiety sieciowe zawierające żądania uwierzytelnienia SAML, a następnie odtwarza je (replay), by podszyć się pod legalnego użytkownika. Moduł w podatnych wersjach nie weryfikuje wystarczająco unikalności ani świeżości przechwyconych komunikatów SAML, co pozwala na ich wielokrotne użycie. Nawet w poprawionych wersjach problem pozostaje aktywny, jeśli włączona jest nierekomendowana i niedomyślna opcja konfiguracyjna 'Allow Idp Initiated Authentication'.

Skutki

Nieautoryzowany zdalny atakujący może całkowicie ominąć uwierzytelnienie i uzyskać pełny dostęp do aplikacji. Może to prowadzić do naruszenia poufności, integralności oraz dostępności danych i funkcji aplikacji.

Mitygacja

Należy zaktualizować moduł Mendix SAML do wersji V1.17.0, V2.3.0, V3.3.1 lub V3.3.0 odpowiednio do używanej wersji Mendix. Dodatkowo należy upewnić się, że opcja konfiguracyjna 'Allow Idp Initiated Authentication' jest wyłączona (jest to ustawienie niedomyślne i nierekomendowane) — jej włączenie sprawia, że podatność pozostaje aktywna nawet w poprawionych wersjach.

Kogo dotyczy

Mendix SAML (kompatybilny z Mendix 7) — wszystkie wersje poniżej V1.17.0; Mendix SAML (kompatybilny z Mendix 8) — wszystkie wersje poniżej V2.3.0; Mendix SAML (kompatybilny z Mendix 9, New Track) — wszystkie wersje poniżej V3.3.1; Mendix SAML (kompatybilny z Mendix 9, Upgrade Track) — wszystkie wersje poniżej V3.3.0

Uwagi

Producent (Siemens) opublikował poradnik bezpieczeństwa SSA-638652. Poprawione wersje nadal zawierają podatność, gdy włączona jest opcja 'Allow Idp Initiated Authentication' — administratorzy powinni zweryfikować konfigurację nawet po aktualizacji.