CVE-2020-26290

Versões do Dex anteriores à 2.27.0

O problema afeta usuários que utilizam o conector SAML e permite uma possível contornamento da assinatura devido a falhas na codificação XML na biblioteca Go subjacente. Com um arquivo XML cuidadosamente elaborado, um invasor pode contornar completamente a validação da assinatura e fazer com que um arquivo alterado seja considerado como assinado. O problema surge devido ao comportamento do encoding/xml, onde um documento XML elaborado pode fazer com que a validação da Assinatura Digital XML seja totalmente contornada, fazendo com que um documento não assinado pareça assinado.

Para versões anteriores à 2.27.0, atualize para a versão 2.27.0 ou posterior, que corrige o problema usando o xml-roundtrip-validator do Mattermost. Além disso, os usuários do goxmldsig devem atualizar para a v1.1.0. Como solução alternativa temporária, considere restringir o uso do conector SAML até que a atualização seja aplicada.