CVE-2024-32962

Resumo

xml-crypto é uma biblioteca de assinatura digital e criptografia XML para Node.js. Nas versões afetadas, a configuração padrão não verifica a autorização do assinante; ela apenas verifica a validade da assinatura conforme a seção 3.2.2 da especificação w3 xmldsig-core-20080610. Dessa forma, sem etapas adicionais de validação, a configuração padrão permite que um ator malicioso re-assine um documento XML, coloque o certificado em um elemento `<KeyInfo />` e passe pelas verificações de validação padrão do `xml-crypto`. Como resultado, o `xml-crypto` confia por padrão em qualquer certificado fornecido via `<KeyInfo />` de um documento XML assinado digitalmente. O `xml-crypto` prefere usar qualquer certificado fornecido via `<KeyInfo />` do documento XML assinado digitalmente, mesmo se a biblioteca tiver sido configurada para usar um certificado específico (`publicCert`) para fins de verificação de assinatura. Um atacante pode falsificar a verificação de assinatura modificando o documento XML e substituindo a assinatura existente por uma assinatura gerada com uma chave privada maliciosa (criada pelo atacante) e anexando o certificado dessa chave privada ao elemento `<KeyInfo />`. Esta vulnerabilidade é uma combinação de alterações introduzidas no `4.0.0` no pull request 301 / commit `c2b83f98` e foi corrigida na versão 6.0.0 com o pull request 445 / commit `21201723d`. Recomenda-se que os usuários atualizem. Usuários que não puderem atualizar podem verificar o certificado extraído via `getCertFromKeyInfo` em relação aos certificados confiáveis antes de aceitar os resultados da validação, ou definir `getCertFromKeyInfo` do `xml-crypto` para `() => undefined`, forçando o `xml-crypto` a usar um `publicCert` ou `privateKey` explicitamente configurado para a verificação de assinatura.

• Poc-CVE-2024-32962-xml-cryptoPoC

  Simula um ataque que explora CVE-2024-32962 para forjar mensagens SAML e obter permissões não autorizadas, demonstrando o impacto da vulnerabilidade.