Уязвимость SAML позволяет преступнику входить в аккаунт под чужим именем

Уязвимость SAML позволяет преступнику входить в аккаунт под чужим именем

Уязвимость SAML позволяет преступнику входить в аккаунт под чужим именем

Исследователи безопасности из Duo Labs и US Computer Emergency Response Team Coordination Center (CERT/CC) сообщили о новой уязвимости SAML, которая позволяет злоумышленникам осуществлять аутентификацию в качестве законных пользователей без знания пароля.

SAML (Security assertion markup language — язык разметки декларации безопасности) — основанный на XML язык, который часто используется для обмена данными аутентификации и авторизации между сторонами, в частности, между поставщиком сервиса (service provider) и поставщиком учетных записей (identity provider). 

Самая важная область использования SAML — в технологиях единого входа (single sign-on, SSO), которые обеспечивают сквозную аутентификацию при работе через Web-браузер. В отличие от других схем аутентификации, таких как OAuth, OpenID, OpenID Connect и Facebook Connect, SSO хранит идентификатор на центральном сервере, где у пользователей есть учетные записи.

Когда пользователь пытается войти в другие корпоративные приложения, эти приложения (поставщики услуг) отправляют запросы на локальный SSO-сервер (поставщик учетных записей) через SAML.

Исследователи Duo Labs обнаружили недостаток дизайна, который влияет на программы SSO и несколько библиотек с открытым исходным кодом, предназначенных для поддержки SSO-операций на основе SAML. Подробное описание недостатка можно прочитать в отчете Duo Labs

Суть уязвимости в том, как эти библиотеки обрабатывают XML-комментарии, включенные в середину запроса ответа SAML. Например, специалисты заметили, что даже если злоумышленник вставляет комментарий внутри поля имени пользователя, он все равно может получить доступ к аккаунту. Единственным условием для использования уязвимости является наличие учетной записи в сети жертвы.

На данный момент уязвимость касается следующих провайдеров SAML:

OneLogin - python-saml — CVE-2017-11427

OneLogin - ruby-saml — CVE-2017-11428

Clever - saml2-js — CVE-2017-11429

OmniAuth-SAML — CVE-2017-11430

Shibboleth — CVE-2018-0489

Duo Network Gateway — CVE-2018-7340

Как видно, недостаток затрагивает не всех провайдеров, кроме того, он не касается учетных записей, защищенных двухфакторной аутентификацией.

Чтобы исправить ситуацию, специалисты предлагают обновить программное обеспечение, затронутое уязвимостью.

X запретила Grok «раздевать» людей на изображениях после скандала

Платформа X (прежний Twitter) Илона Маска объявила о новых ограничениях для своего ИИ-бота Grok после волны международной критики и расследований, связанных с генерированием непристойных изображений реальных людей — включая женщин и детей. Об этом компания сообщила 14 января.

Поводом стал резонанс вокруг так называемого Spicy Mode, который позволял с помощью простых текстовых запросов «раздевать» людей на фотографиях — например, «надень на неё бикини» или «убери одежду».

Эти возможности вызвали шквал жалоб, блокировки сервиса в отдельных странах и проверку со стороны регуляторов.

В X заявили, что приняли технические меры, чтобы пресечь подобные сценарии. В частности, компания начнёт блокировать по геолокации возможность создавать или редактировать изображения людей в «откровенной одежде» — бикини, нижнем белье и аналогичных образах — в тех юрисдикциях, где такие действия нарушают закон.

«Мы внедрили технологические ограничения, которые не позволяют Grok редактировать изображения реальных людей в откровенной одежде, включая бикини», — говорится в заявлении команды безопасности X.

Ограничения распространяются на всех пользователей, включая платных подписчиков.

Кроме того, в качестве «дополнительного уровня защиты» X решила оставить генерацию и редактирование изображений через Grok только для платных аккаунтов. В компании считают, что это позволит снизить риски злоупотреблений.

На ситуацию уже отреагировали европейские регуляторы. В Еврокомиссии заявили, что внимательно изучают дополнительные меры, принятые X, и проверят, действительно ли они способны защитить пользователей в ЕС. Представитель комиссии Томас Ренье отметил, что речь идёт о реакции на острую критику из-за непристойных изображений.

По данным недавнего исследования некоммерческой организации AI Forensics, более половины из 20 тысяч проанализированных изображений, созданных Grok, показывали людей в минимальном количестве одежды. Большинство из них — женщины, а около 2% персонажей выглядели как несовершеннолетние.

RSS: Новости на портале Anti-Malware.ru