Red Hat Single Sign-On 7.1 现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Single Sign-On 是基于 Keycloak 项目的独立服务器，其为 Web 和移动应用程序提供基于身份验证和标准的单点登录功能。此 Red Hat Single Sign-On 7.1 版本可替换 Red Hat Single Sign-On 7.0，并且包括一些缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多的相关信息。安全修复：* 当处理发送到 REST 服务器的服务帐户用户删除请求时，发现 keycloak 没有正确检查权限。具有服务帐户身份验证的攻击者可利用此缺陷以绕过正常权限以及在单独领域中删除用户。(CVE-2016-8629) * 已发现 JBoss EAP 7 标头缓存无效。攻击者可利用此缺陷造成拒绝服务攻击。(CVE-2016-9589) * 发现 keycloak 实施 JWS 令牌的 HMAC 认证时使用在非持续时间内运行的方法，可能使应用程序易受到时序攻击。(CVE-2017-2585) Red Hat 在此感谢 Gabriel Lavoie (Halogen Software) 报告 CVE-2016-9589 以及 Richard Kettelerij (Mindloops) 报告 CVE-2017-2585。

检测

RHEL 7 : 单点登录 (RHSA-2017:0873)

high Nessus 插件 ID 117314

未找到变更日志