El Authenticator Remoto de AspNetCore para SPID Permite una Omisión de la Verificación de la Firma de Respuesta SAML

La gravedad de esta vulnerabilidad radica en su potencial para permitir la ejecución remota de código. Un atacante que explote esta falla podría inyectar código malicioso en el proceso de autenticación SAML2, obteniendo control sobre el sistema afectado. Esto podría resultar en la exfiltración de datos sensibles, la modificación de la configuración del sistema, o incluso el uso del sistema comprometido como punto de partida para ataques a otros sistemas en la red. La naturaleza de la autenticación SAML2, donde el Service Provider (SP) confía en la información proporcionada por el Identity Provider (IdP), amplifica el impacto, ya que un ataque exitoso podría comprometer la confianza en todo el sistema de autenticación.

Applications and services relying on SPID.AspNetCore.Authentication for authentication, particularly those handling sensitive data or critical functions, are at significant risk. Organizations using older, unpatched versions of the library, or those with custom authentication logic built on top of SPID.AspNetCore.Authentication, should prioritize remediation.

• .NET / ASP.NET Core:

Get-Package -Name SPID.AspNetCore.Authentication | Select-Object Version

• .NET / ASP.NET Core: Check for versions <= 3.3.0-prerelease in project files or NuGet package manager. • .NET / ASP.NET Core: Monitor application logs for unusual SAML assertion processing errors or authentication failures. • .NET / ASP.NET Core: Review code for any custom SAML assertion handling logic that might be vulnerable to manipulation.

1. 2025-02-18Disclosure

   disclosure

1. Reservado2025-01-27
2. Publicada2025-02-18
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2025-24894 es actualizar la biblioteca SPID.AspNetCore.Authentication a la versión 3.4.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible debido a problemas de compatibilidad, se recomienda revisar la configuración de SAML2 para asegurar que se apliquen políticas de validación estrictas de las aserciones SAML recibidas. Implementar reglas en un Web Application Firewall (WAF) para detectar y bloquear solicitudes SAML2 maliciosas también puede ayudar a reducir el riesgo. Monitorear los logs de autenticación en busca de patrones sospechosos, como solicitudes SAML2 inesperadas o errores de validación, es crucial para la detección temprana.