Shibboleth <= 2.5.3 - Unauthenticated Administrator Account Creation (vulnerabilidad) - version 2.5.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Shibboleth, que permite la creación de cuentas de administrador sin autenticación. Esta brecha de seguridad puede comprometer gravemente la integridad del sitio y la información sensible de los usuarios.

Contexto técnico

El fallo se origina en la versión 2.5.3 del plugin Shibboleth, que presenta un bypass de autenticación. Los atacantes pueden aprovechar esta vulnerabilidad a través de solicitudes HTTP maliciosas, creando cuentas de administrador sin necesidad de credenciales válidas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser devastador, ya que permite a un atacante obtener control total sobre el sitio. Esto puede resultar en la alteración de contenido, robo de datos sensibles y potencialmente en la pérdida de confianza por parte de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando peticiones específicas a la API del plugin, lo que les permite crear cuentas de administrador sin autenticación previa.

Mitigación recomendada

Actualizar el plugin Shibboleth a la versión 2.5.4 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como autenticación de dos factores para cuentas de administrador.

Señales de detección

Buscar patrones inusuales en los registros de acceso, como la creación de cuentas de administrador sin actividad previa de autenticación.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Shibboleth en la versión 2.5.3 y anteriores. No se han reportado casos en versiones posteriores a 2.5.4.