CVE-2025-48994
Açıklama
SignXML, Python dilinde W3C XML Signature standardının bir uygulamasıdır. X509 sertifika doğrulaması kapalıyken ve HMAC paylaşılan sırrı ayarlanmış olduğunda (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), SignXML'in 4.0.4 öncesindeki sürümleri potansiyel bir algoritma karıştırma saldırısına karşı savunmasızdır. Kullanıcı, beklenen imza algoritmalarını `signxml.XMLVerifier.verify(expect_config=...)` ayarı ile açıkça sınırlandırmadığı sürece, bir saldırgan farklı bir (asimetrik anahtar) imza algoritması kullanarak, sağlanan HMAC anahtarı dışındaki bir anahtarla beklenmedik şekilde imzalanmış bir imza sunabilir. SignXML 4.0.4 sürümüyle birlikte, kullanıcı tarafından halihazırda sınırlandırılmamışsa, `hmac_key` belirtilmesi kabul edilen imza algoritmaları kümesinin yalnızca HMAC ile sınırlandırılmasına neden olur.
Nasıl düzeltilir
- signxml4.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| signxmlPyPI | v < 4.0.4 | 4.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.