🔴 CVE-2026-10579: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-10579 ist eine kritische Sicherheitslücke in Picketlink Federation SAML mit einem CVSS-Score von 9.8. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, gefälschte SAML-Assertions ohne Validierung zu akzeptieren und sich als beliebige Benutzer mit administrativen Rollen zu authentifizieren.

Betroffene Systeme

Die Schwachstelle betrifft verschiedene Versionen von Picketlink Federation SAML-Implementierungen. Besonders gefährdet sind Systeme, die Picketlink als Service Provider (SP) für föderierte Authentifizierung einsetzen. Eine genaue Versionsangabe ist aktuell nicht verfügbar.

Technische Details

Die Vulnerability liegt im Unsolicited Response Handler von Picketlink Federation SAML. Der Handler verarbeitet SAML-Responses, ohne diese kryptographisch zu verifizieren oder zu validieren. Dies führt zu mehreren kritischen Schwachstellen:

• Fehlende Signaturvalidierung von SAML-Assertions
• Keine Überprüfung der Assertion-Herkunft (Issuer-Validierung)
• Ausbleibende Authentizitätsprüfung
• Privilege Escalation durch Rollenansprüche möglich

Ein Angreifer im Netzwerk kann manipulierte SAML-Responses konstruieren und diese als legitime Authentifizierungstokens einschleusen, um Zugriff auf geschützte Ressourcen zu erlangen.

Empfohlene Massnahmen

• Umgehende Überprüfung von Picketlink-Deployment in der Infrastruktur
• Implementierung strenger Signaturvalidierung für alle SAML-Assertions
• Validierung des Issuer-Zertifikats gegen vertrauenswürdige Certificate Authorities
• Aktualisierung auf gepatchte Versionen sobald verfügbar
• Verstärkte Logging- und Monitoring-Massnahmen für SAML-Transaktionen
• WAF-Regeln zur Erkennung verdächtiger SAML-Responses implementieren

Bewertung

Dieser kritischen Schwachstelle ist mit höchster Priorität zu begegnen. Der CVSS-Score von 9.8 und die Abwesenheit eines Patches machen eine sofortige Risikoanalyse erforderlich. Systeme mit Federation-Anforderungen sollten alternative Sicherheitsmechanismen implementieren, bis ein Patch verfügbar ist.

„`