Существует недостаток в методе проверки подписи SAML в классе Keycloak XMLSignatureUtil. Метод неправильно определяет, относится ли подпись…

Существует недостаток в методе проверки подписи SAML в классе Keycloak XMLSignatureUtil. Метод неправильно определяет, относится ли подпись SAML ко всему документу или только к определенным утверждениям, основываясь на положении подписи в XML-документе, а не на элементе Reference, используемом для указания подписанного элемента. Этот недостаток позволяет злоумышленникам создавать специально разработанные ответы, которые могут обойти проверку, что потенциально может привести к повышению привилегий или атакам с выдачей себя за другое лицо.