| CNNVD-ID编号 | CNNVD-201312-515 |
| CVE编号 | CVE-2013-6440 |
| 发布时间 | 2013-12-27 |
| 更新时间 | 2014-02-18 |
| 漏洞类型 | 信息泄露 |
| 漏洞来源 | David Illsley, Ron Gutierrez of Gotham Digital Science and David Jorm of Red Hat Security Response Team |
| 危险等级 | 中危 |
| 威胁类型 | 远程 |
| 厂 商 | shibboleth |
Shibboleth Shibboleth OpenSAML-Java是英国Shibboleth公司的一个使用Java语言编写的开源且用于实现SAML（Security Assertion Markup Language，安全断言标记语言）的库。
Shibboleth OpenSAML-Java 2.6.1之前的版本中的(1)BasicParserPool，(2)StaticBasicParserPool，(3)XML Decrypter，(4)SAML Decrypter中存在安全漏洞，该漏洞源于程序设置‘expandEntityReferences’属性为真。远程攻击者可借助特制的XML DOCTYPE声明利用该漏洞实施XML外部实体攻击。
目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
http://shibboleth.net/community/advisories/secadv_20131213.txt
来源: bugzilla.redhat.com
来源: shibboleth.net
链接：http://shibboleth.net/community/advisories/secadv_20131213.txt
来源: REDHAT
名称: RHSA-2014:0172
来源: REDHAT
名称: RHSA-2014:0171
来源: REDHAT
名称: RHSA-2014:0170
来源: blog.sendsafely.com
链接：http://blog.sendsafely.com/post/69590974866/web-based-single-sign-on-and-the-dangers-of-saml-xml
来源:SECUNIA
名称:56091