Biblioteka XML::Sig w wersjach przed 0.71 dla Perl jest podatna na XPath injection podczas weryfikacji podpisów XML. Podatność umożliwia atakującemu bez uwierzytelnienia manipulowanie logiką weryfikacji podpisu, co może prowadzić do akceptacji spreparowanych dokumentów XML jako prawidłowo podpisanych.
▸ Pokaż oryginał (EN)
XML::Sig versions before 0.71 for Perl allow XPath injection in ID lookup. verify() and _get_signed_xml() in lib/XML/Sig.pm build XPath expressions by concatenating the SignedInfo/Reference/@URI value read from the document being verified. The value is neither escaped nor checked against the NCName grammar that XML requires of an ID, so a URI containing a single quote closes the string literal in the generated expression and appends arbitrary XPath operators. A crafted URI can make the lookup match elements the reference does not name, or every element in the document, so which node is selected for digest verification is decided by the injected expression rather than by the reference.
Funkcje verify() oraz _get_signed_xml() w pliku lib/XML/Sig.pm budują wyrażenia XPath poprzez bezpośrednie sklejanie (konkatenację) wartości atrybutu SignedInfo/Reference/@URI odczytanej z weryfikowanego dokumentu. Wartość ta nie jest ani eskejpowana, ani walidowana względem gramatyki NCName wymaganej przez standard XML dla identyfikatorów. W konsekwencji URI zawierający pojedynczy cudzysłów zamyka literał łańcuchowy w generowanym wyrażeniu XPath i pozwala na dołączenie dowolnych operatorów XPath. Spreparowany URI może spowodować, że zapytanie XPath dopasuje elementy nienazwane przez referencję — lub każdy element w dokumencie — przez co węzeł wybrany do weryfikacji skrótu jest określany przez wstrzykniętą logikę, a nie przez faktyczną referencję.
Atakujący może doprowadzić do tego, że biblioteka zaakceptuje spreparowany dokument XML jako prawidłowo podpisany, omijając w ten sposób mechanizm weryfikacji integralności i autentyczności podpisu cyfrowego XML. Może to skutkować naruszeniem integralności danych oraz kompromitacją poufności, jeśli weryfikacja podpisu jest elementem kontroli dostępu lub uwierzytelniania.
Należy zaktualizować bibliotekę XML::Sig do wersji 0.71 lub nowszej. Patche dostępne są w repozytorium projektu (commity 69ad2b421118fadd33d57f50b110b8d161e8fef5 oraz a85aad21aa767ac1c158bbfc19447683941ab376). Szczegóły zmian dostępne są w historii wydań na MetaCPAN.
XML::Sig dla Perl w wersjach przed 0.71
Poprawka została wprowadzona w wersji 0.71 biblioteki XML::Sig, co potwierdza changelog opublikowany na MetaCPAN oraz dwa oddzielne commity w repozytorium perl-net-saml2/perl-XML-Sig.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NXml\ \
APPXml\sig_project
Powiązane podatności
XML::Sig dla Perl – signature wrapping przez zduplikowane ID
XML-Sig dla Perl: pominięcie podpisu skutkuje błędną walidacją
XML::Sig dla Perl — pominięcie weryfikacji podpisu XML (signature bypass)
It was discovered that the XML::Atom Perl module before version 0.39 did not disable external entities when pa...