SAML漏洞注释VU#475445 - Spring Secucity SAML2是否受到影响？

Question

https://www.kb.cert.org/vuls/id/475445刚刚披露.

这会影响Spring Security SAML2吗？

我看不到受影响的API列表中XML使用的解析器Spring Security SAML2.

让我们知道.

Answer 1

我是Spring Security项目负责人,我已经验证该漏洞利用默认设置对Spring Security SAML不起作用.这也得到了同事的证实.

如果更改默认设置(设置ignoreComments = false),则应用程序将变得容易受到攻击.

更新:请参阅https://spring.io/blog/2018/03/01/spring-security-saml-and-this-week-s-saml-vulnerability