Apache XML Security签名伪造漏洞

漏洞起因
设计错误
危险等级

影响系统
Apache XML Security (Java) 1.5.x
Apache XML Security (Java) 1.4.x

不受影响系统

危害
远程攻击者可以利用漏洞伪造XML签名。
CVSSv2:

攻击所需条件
攻击者必须访问Apache XML Security应用。

漏洞信息
Apache XML Security是一个XML安全标准下的数字签名实现。
XML签名包含一个”CanonicalizationMethod”参数用于指定应用于签名的SignedInfo部分所需的规范化算法(canonicalization algorithm)。而实际是XML签名的Apache Santuario XML Security for Java实现允许把任意算法指定给此参数,可被利用对XML签名进行伪造攻击。

测试方法
安全建议

厂商解决方案
Apache XML Security (Java) 1.5.5或1.4.8已经修复此漏洞,建议用户下载更新:
http://santuario.apache.org

漏洞提供者
James Forshaw, Context Information Security.