Uppdateringen av Shibboleth som kom förra veckan var ett par viktiga säkerhetsuppdatering och det är rekommenderat att uppdatera så snart som möjligt.
Pål
From: announce <announce-bounces(a)shibboleth.net> On Behalf Of Scott Cantor via announce
Sent: Wednesday, May 13, 2026 10:09 PM
To: announce(a)shibboleth.net
Cc: Scott Cantor <scott(a)restingparrotsoftware.com>
Subject: Shibboleth Identity Provider Security Advisory [13 May 2026]
OpenPGP meddelande
Vänta medan meddelandet verifieras...
Shibboleth Identity Provider Security Advisory [13 May 2026]
The Shibboleth Identity Provider has, for some time, included a
library known as "JavaMail", more recently "JakartaMail", used
by the Logback logging library to support sending log output
via SMTP mail.
A vulnerability in this library, while not deemed critical in
its own right, has led us to make the unusual decision to remove
this library from the IdP distribution due to the risk of a more
serious vulnerability in the future.
The Jakarta Mail vulnerability was recorded as CVE-2025-7962.
Injection vulnerability in SMTP Library included with IdP
=========================================================
The Shibboleth Identity Provider dating back to at least V3.0
includes a library not used by the IdP itself but present to
support an optional Logback feature, an SMTP Appender [1]
that supports log output via SMTP.
It is typically used in conjunction with a filter to limit
the use of the feature to specific log messages of particular
import.
The version of the library shipped with recent versions of the
IdP includes a vulnerability, CVE-2025-7962, that allowed
for SMTP injection based on specially crafted log messages.
The most likely vector for exploit would involve logging
that can be influenced by user input.
Because we believe this feature is very little used and because
we are more concerned about the possibility of future exploits
that could be more serious, we have taken the step of removing
this library from a patch release of the IdP and will not be
replacing it with a fixed version.
Recommendations
===============
Update to V5.2.2 (or later) of the Identity Provider software.
If making use of the Logback SMTP Appender feature, inject a fixed
version of the Jakarta Mail library via the IdP's "edit-webapp"
customization mechanism and rebuild the IdP.
See [2] for the project's home page. The self-contained version
of the library that corrects the specific CVE reported is V2.0.2;
note that this is true despite the official CVE claiming otherwise.
Newer versions (V2.1.x) have a separate implementation jar along
with the original API jar. Refer to their documentation for
specifics.
Notably, use this feature at your own risk. We as a project do
not consider it wise to include an SMTP implementation on the
class path given the risk of a more serious issue causing
exfiltration vulnerabilities.
Credits
=======
Philip Brusten
[1] https://logback.qos.ch/manual/appenders.html#SMTPAppender
[2] https://jakartaee.github.io/mail-api/
URL for this Security Advisory:
https://shibboleth.net/community/advisories/secadv_20260513b.txt
Hej på er alla!
Välkomna tillbaka efter sommaren. Jag hoppas att ni blivit uppvilade.
Som ni vet gjorde vi en större uppdatering av tillitsprofilerna under 2020 samt två mindre 2024 och 2025. Baserat på dessa uppdateringar behöver nedanstående organisationer uppdatera sina Identity Management Practice Statement (IMPS). VI skickar ut detta informationsbrev så att ni kan genomföra uppdateringarna planerat. Finns er organisation inte nämnd nedan behöver ni inte göra någon uppdatering.
Om ni har några frågor och funderingar hör av er till operations(a)swamid.se<mailto:operations@swamid.se>. Om ni ser ett behov tar Swamid Operations gärna ett eller flera möten med er för att stödja er i uppdateringsprocessen.
Organisationer som blivit godkända före 2021 - Akuta åtgärder krävs snarast!
Organisationer som berörs av förändringarna och behöver uppdatera och bli godkända av Swamid Board of Trustees senast oktober 2026:
* Gymnastik- och idrottshögskolan [pågår]
* Högskolan i Gävle [pågår]
* Naturhistoriska riksmuséet [pågår]
* Universitetskanslersämbetet [pågår]
* Forskningsrådet Formas
* Forskningsrådet Forte
* Klimatpolitiska rådet
* Rymdstyrelsen
* Stiftelsen för strategisk forskning
Förändringen 2020 var väldigt omfattande och därför behövs en omfattande genomgång och uppdatering av IMPSen genomföras snarast baserat på aktuell version av tillitsprofilerna. Denna uppdatering måste beslutas av Swamid Board of Trustees på nästa möte. Om detta inte sker kommer identitetsutgivaren för organisationen att tillfälligt stängas av från Swamid fram till att uppdateringen av IMPSen är godkänd.
Organisationer som blivit godkända 2021-2024
Organisationer som berörs av förändringarna och behöver uppdatera senast vid årliga validering under 2026:
* Försvarshögskolan
* Högskolan Väst
* Kungliga Vetenskapsakademien
* Kungliga biblioteket
* Lunds universitet [pågår]
* Marie Cederschiöld högskola
* NORDUnet
* Sophiahemmet Högskola
* Universitets- och högskolerådet
* Universitets- och högskolerådet - Antagning.se
* Vetenskapsrådet
* World Maritimae University
Organisationer som berörs av förändringarna och behöver uppdatera senast vid årlig validering under 2027:
* Chalmers tekniska högskola
* Högskolan Dalarna
* Högskolan Kristianstad [pågår]
* Högskolan i Halmstad
* Högskolan i Skövde [pågår]
* Karolinska institutet
* Konstfack
* Kungliga Konsthögskolan
* Kungliga tekniska högskolan
* Luleå tekniska universitet [pågår]
* Malmö universitet [pågår]
* Mittuniversitetet [pågår]
* Röda Korsets Högskola
* Stockholms konstnärliga högskola
* Stockholms universitet
* Vetenskapsrådet - SUNET
* Vetenskapsrådet - eduID
* Örebro universitet
Uppdateringarna som beslutades innehöll inga funktionella skillnader utan tillitsprofilerna strukturerades om för att bli tydligare gällande krav vilket medför förändrade krav hur tillitsprofilen skrivs. Detta betyder att ett antal avsnitt behöver förändras antingen genom att flytta text från ett avsnitt till ett annat eller utökad skrivning för tydlighet. Sektion 4.5.1 angående incidenthantering tillkom men detta krav finns redan tidigare i teknologiprofilen för SAML så kravet är inte nytt. Ändringarna finns i spårbart skick publicerad på https://wiki.sunet.se/spaces/SWAMID/pages/214570868/%C3%96versyn+av+SWAMIDs….
Uppdateringen som beslutades i december 2025 gällde primärt att NIST släppte en ny version av NIST Special Publication 800-63 Digital Identity Guidelines. Denna används i sektion 5.1.1 i tillitsprofilerna för att beskriva autentiseringsmodeller som är godkända inom aktuell tillitsprofil. NIST bytta namn på modellerna och därför behövde en mindre konsekvensuppdatering genomföras. Samtidigt passade vi på att dela avsnitt 4.4.1 gällande loggning i två sektioner, 4.4.1 och 4.4.2. Förändringarna runt 4.4.1 är samma i alla tillitsprofilerna. Ändringen finns i spårbart skick publicerad på https://wiki.sunet.se/spaces/SWAMID/pages/284459423/%C3%96versyn+av+Swamids….
Organisationer som blivit godkända efter 2024
Uppdateringen som beslutades i december 2025 gällde primärt att NIST släppte en ny version av NIST Special Publication 800-63 Digital Identity Guidelines. Denna används i sektion 5.1.1 i tillitsprofilerna för att beskriva autentiseringsmodeller som är godkända inom aktuell tillitsprofil. NIST bytta namn på modellerna och därför behövde en mindre konsekvensuppdatering genomföras. Samtidigt passade vi på att dela avsnitt 4.4.1 gällande loggning i två sektioner, 4.4.1 och 4.4.2. Funktionellt är uppdateringen så liten att ingen uppdatering av er IMPS behöver göras.
Swamid Operations genom
Pål Axelsson
