Hej
Det kom in ett mail gällande sårbarheten i OpenSAML tidigare (https://wiki.sunet.se/pages/viewpage.action?pageId=241119211) dock står det väldigt lite kring hur man går tillväga med en uppdatering. Finns det någon lite mer detaljerad beskrivning eller tutorial för detta? Alt om någon har gjort det redan och kan hjälpa med instruktioner för Ubuntu.
Är det fler delar som påverkas och behöver uppdateras när man uppdaterar OpenSAML?
Mvh Vyacheslav Lytvynenko
IT-avdelningen
Högskolan i Skövde
Hej.
Som info.
För er på Windowsplatformen kvittar 3.5.0.1 eller 3.5.0.2 båda är säkra men 3.5.0.2 visar rätt version i loggen.
Linux
CentoOS/Redhat mfl finns ju RPM:er från Shibboleth.net <http://shobboleth.net/>
Debian - Släppte en fixad version för Shibboleth 3.4 i Söndags.
Ubuntu - Finns buggraporter men inget släppt officielt. SUNET kör en del Ubuntu dock inte senaste. En kollega har byggt för oss :-) https://launchpad.net/~sunet/+archive/ubuntu/ppa
// Björn M
> Begin forwarded message:
>
> From: "Cantor, Scott via announce" <announce(a)shibboleth.net>
> Subject: SP for Windows service patch to correct log line
> Date: 18 March 2025 at 16:10:21 CET
> To: "announce(a)shibboleth.net" <announce(a)shibboleth.net>
> Cc: "Cantor, Scott" <cantor.2(a)osu.edu>
> Reply-To: users(a)shibboleth.net
>
> We have posted a second service release for the SP (V3.5.0.2) [1].
>
> This is a *non-essential* patch to correct a logging mistake.
>
> It was noted there's a second log line in the shibd.log output that reports the older OpenSAML version (3.3.0) instead of the correct one. This is cosmetic, and the correct version was logged later on in the file, but this is now corrected in the new patch to aid in assessing the state of systems in light of the recent advisory.
>
> Purely optional to apply, it contains no other changes.
>
> -- Scott
>
> [1] https://shibboleth.net/downloads/service-provider/latest/win32
> https://shibboleth.net/downloads/service-provider/latest/win64
>
>
> --
> To unsubscribe from this list send an email to announce-unsubscribe(a)shibboleth.net
Hej!
Vi får rapporter om att användare får MFA-krav när dom ska attestera
betyg i både test och prod-miljön.
Någon annan som ser det eller är det bara vår "instans" som är drabbad?
MVH
- Simon
Hej.
Det har i dag släppts information om 2 säkerhetshål i SAML.
HTTP-POST-SimpleSign i Shibboleth och HTTP-Redirect i SimpleSAMLphp.
Kort så bör ni som kör Shibboleth antingen plocka ner och kompilera upp senaste OpenSAML (3.3.1) och Shibboleth 3.5 eller uppdatera en fil på burken.
Många Linuxdistibutioner kör kvar på Shibboleth 3.4 och OpenSAML 3.2.x!
Då HTTP-POST-SimpleSign normalt inte används går det att plocka bort supporten i SP:n.
Gå in i protocols.xml och radera raden
<Binding id="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign"
path="/SAML2/POST-SimpleSign" />
För er som kör SimpleSAMLphp gäller att uppdatera till senaste versionen 2.3.7 eller 2.2.5
För mer info se https://wiki.sunet.se/pages/viewpage.action?pageId=241119211
// Björn Mattsson
Idag kom en ny version av SeamlessAccess till allmän beskådan.
Initialt så kommer det för vissa visas en vit ruta utan sökresultat som
beror på problem med cachning mellan versioner, det ser ut så här och lösas
genom en hård refresh / tömning av cache.
[image: Screenshot 2025-02-27 at 15.13.16.png]
Med den nya versionen kommer också en varningsruta, som visas om tjänsten
saknar korrekt returnurl i sitt metadata. En kort guide för hur man
åtgärdar det är på gång, men det handlar alltså om att adressen som skickas
med till anvisningstjänsten ska stämma överens med det man angivit i
metadatat.
[image: image.png]
Hej!
Enligt SWAMID SAML WebSSO Technology Profile (3.2 och 3.3) ska en entitet årligen bekräfta att den uppfyller teknologi-profilen.
Följande entiteter har trots påtryckning inte bekräftats och kommer därför raderas på datum nedan.
Vet ni med er att entiteten används vid ert lärosäte behöver ni skyndsamt eskalera detta till rätt instans inom er organisation.
Raderas 2023-03-19:
https://test-kmh.hr.evry.se/shibbolethhttps://test-ki.hr.evry.se/shibbolethhttps://test-du.hr.evry.se/shibboleth
Det går att följa status på dessa entiteter via vår felsida:
https://metadata.swamid.se/admin/?action=ErrorList
Finns entiteten kvar är den ännu inte hanterad (uppdateras varje onsdag morgon). Last
Confirmed/Validated uppdateras dock löpande.
--
jocar
SWAMID Operations
Begränsad delning
Hej!
Efter 10 långa år är det dags att göra en key-rollover på vårt metadatacertifikat för vår Sunet Play SP.
Gissar att flera av er har gjort detta och tänkte höra hur er process har varit?
Är det så enkelt som jag beskriver nedan?
*
generera ett nytt certifikat med t.ex. openssl (hitta info hos kaltura)
*
lägg publika certifikatet i metadata på metadata.swamid.se
*
vänta
*
ändra i kaltura
Roger Mårtensson
System specialist / Systemspecialist
MID SWEDEN UNIVERSITY
Avdelningen för infrastruktur / Division of infrastructure
E-mail: roger.martensson(a)miun.se<mailto:roger.martensson@miun.se>
Information about processing of personal data at Mid Sweden University: www.miun.se/en/personaldata<https://www.miun.se/en/personaldata>
Hej.
Vi håller just nu på att bygga om en del bakom kulisserna på metadata.swamid.se <http://metadata.swamid.se/>.
Inga stora förändringar som ni märker men koden skall bli lite mer modulär för att underlätta samarbete med andra federationer.
Nu på morgonen släppte jag en större förändring. SKALL inte påverka men om ni märker något får ni gärna höra av er :-)
// Björn M.
Hej!
Enligt SWAMID SAML WebSSO Technology Profile (3.2 och 3.3) ska en entitet årligen bekräfta
att den uppfyller teknologi-profilen.
Följande entiteter har trots påtryckning inte bekräftats och kommer därför raderas på
datum nedan.
Vet ni med er att entiteten används vid ert lärosäte behöver ni skyndsamt eskalera detta
till rätt instans inom er organisation.
Raderas 2025-02-26:
https://sp.sweclarin.se/sp/module.php/saml/sp/metadata.php/default-sp
Det går att följa status på dessa entiteter via vår felsida:
https://metadata.swamid.se/admin/?action=ErrorList
Finns entiteten kvar är den ännu inte hanterad (uppdateras varje onsdag morgon). Last
Confirmed/Validated uppdateras dock löpande.
--
jocar
SWAMID Operations
