AssertionConsumerServiceURL mismatch between Request and configured metadata is handled too gracefully

Aperta
#2,653 3 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
48/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
php
Ambito
authentication, security

Direzione di ricerca

Inizia individuando la gestione di AuthNRequest e il controllo che seleziona una AssertionConsumerServiceURL dalla richiesta o dai metadati configurati. Riproduci una richiesta non firmata la cui AssertionConsumerServiceURL sia assente dai metadati, quindi verifica che generi un errore di protocollo fatale, mentre le richieste firmate e i metadati corrispondenti continuano a funzionare.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Specifics of your environment

  1. simpleSAMLphp is an IdP
  2. SimpleSAMLphp version is 2.5.2
  3. PHP is version 8.3
  4. Platform is Linux
  5. Webserver is an nginx frontend with FPM backend

Describe the bug
If a SAML SP sends an AuthNRequest with the optional parameter AssertionConsumerServiceURL, and that URL is not contained in the SP configured metadata, and the request is not signed, then authentication succeeds and SSP sends the assertion back to one of the URLs from metadata.

However, the SAML spec states

AssertionConsumerServiceURL [Optional]
Specifies by value the location to which the message MUST be returned to the
requester. The responder MUST ensure by some means that the value specified is in fact associated
with the requester.

One way is signed requests - in this case it is okay to continue the authentication and take the received AssertionConsumerServiceURL at face value.

Another way is pre-configured metadata. In that case, a mismatch is a problem.

Expected behavior
In the given situation (unsigned request, stored metadata with different ACS URLs), it is impossible to satisfy both MUST conditions simultaneously; one of the two is always violated. A protocol violation should not lead to successful auth, but raise a fatal protocol error instead.

Lingua principale
PHP
Stelle
1.1k
Fork
704
Merge medio
1g 15h
PR unite (30g)
4

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di simplesamlphp/simplesamlphp

Tutte le issue di simplesamlphp/simplesamlphp

Issue simili

Altre issue su PHP

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.