Hej!

En fix för libsaml12 har nu kommit till Ubuntu 22.04 och nyare. Ska vara samma uppdatering som kom för debian tidigare.

opensaml (3.2.1-1ubuntu0.1) jammy-security; urgency=medium

  * SECURITY UPDATE: CPPOST-126 - Simple signature verification fails to
    detect parameter smuggling (LP: #2103420)
    - debian/patches/lp2103420-forging.patch: address parameter smuggling.
      Patch from upstream commit 22a610b322e2178abd03e97cdbc8fb50b45efaee,
      thanks to Scott Cantor
    - No CVE number

Från: Björn Mattsson via Saml-admins
Skickat: Måndag, 17 mars 2025 12:16
Till: Vyacheslav Lytvynenko
Kopia: saml-admins@lists.sunet.se
Ämne: [Saml-admins] Re: OpenSAML uppdatering

Beror mycket på vilket OS och vilken version av OS:et

De rapporter jag fått in från de som kör RPM baserade OS är att om de nyttjar https://shibboleth.net/downloads/service-provider/RPMS/ så fungerar det (och får 3.5.0 versionen av Shibboleth).

På SUNET så kör vi mycket Debian och de släppte en uppdatering i helgen (https://lists.debian.org/debian-security-announce/2025/msg00041.html).

Så då behövs det en apt update; apt upgrade

På en Debian 12 burk

dpkg -l | grep libsaml12

ii libsaml12:amd64 3.2.1-3+deb12u1 amd64 Security Assertion Markup Language library (runtime)

3.2.1-3 är INTE OK men 3.2.1-3+deb12u1 är OK.

Dock ligger man då kvar på 3.4.x versionen av Shibboleth, inte senaste men sårbarheten är åtgärdad)

Noterbart är att Shibboleth vid uppstart fortfarande rapporterar 3.2.1, så här är det noga att man kollar vad som faktiskt är installerat!

Ubuntu ryktas om att skall komma under dagen, men inget jag kunnat verifiera.

Så fort någon vet att ubuntu har fixat det får gärna maila ut på listan.

Gällande vad som påverkas är det enbart shibboleth som jag vet om för tillfället. Beror givetvis på vilka andra saker ni kör på burken. Svårt att svara på generellt.

// Björn M.

On 17 Mar 2025, at 11:09, Vyacheslav Lytvynenko via Saml-admins <saml-admins@lists.sunet.se> wrote:

Hej

Det kom in ett mail gällande sårbarheten i OpenSAML tidigare (https://wiki.sunet.se/pages/viewpage.action?pageId=241119211), dock står det väldigt lite kring hur man går tillväga med en uppdatering. Finns det någon lite mer detaljerad beskrivning eller tutorial för detta? Alt om någon har gjort det redan och kan hjälpa med instruktioner för Ubuntu.

Är det fler delar som påverkas och behöver uppdateras när man uppdaterar OpenSAML?

Mvh Vyacheslav Lytvynenko

IT-avdelningen

Högskolan i Skövde
_______________________________________________
Saml-admins mailing list -- saml-admins@lists.sunet.se
To unsubscribe send an email to saml-admins-leave@lists.sunet.se

CAUTION: This message was sent from an external sender and the content should be handled carefully

Information about processing of personal data at Mid Sweden University: www.miun.se/en/personaldata