search2020年1月よりいずれのグループにも所属していない方は本サービスにログインできなくなりました。該当者はログインせずにこれまで同様に各公開ページを閲覧できます。SPバージョン2系列の全てのバージョンに脆弱性が見付かっております。SPへのアップデートに関してはこちらをご覧ください。⇒SPv3アップデートに関する情報バージョン共通CentOS等、yumコマンドによりインストールした環境では以下のコマンドで簡単に最新版にアップデートできます。SP関連のパッケージのみをアップデートする場合は、代わりに以下のコマンドを実行してください。パッケージが存在しない場合がありますが、無視されますので問題ありません)アップデート後、httpdおよびshibdが再起動されていることを確認し、再起動されていなければ手動で再起動してください。7の場合コマンドが異なります。自動再起動されていない場合は以下のコマンドを用いてください。2.6.0から2.6.1へのアップデートは自動的に再起動する模様。2.6.1にアップデート後、libxmltooling7のみをアップデートした場合は自動再起動されない模様。2.5.1から2.5.2へのアップデートはhttpdおよびshibdを自動的に再起動する模様。2.4.3から2.5.2へのアップデートでは自動再起動されない模様。注意点2.5.0以降の機能ですが、デフォルトでは有効になっていない、オープンリダイレクタとならないための設定があります。事情がなければ以下の指示に従って設定を有効にしてください。アップデートに関する情報バージョンは変わっておりませんが、2.6.1リリース後にlibxmltooling7のセキュリティアップデートが出ていますので適宜アップデートしてください。これのみの適用の場合は自動再起動されませんので、shibdおよびhttpdを再起動してください。6/7)向けにlibcurl-opensslのアップデートが出ていますので、適宜アップデートしてください。同様に、2.6.1リリース後にlibcurl-opensslのセキュリティアップデートが出ています。アップデートする場合の注意点2.6.0でのセキュリティフィックスはXerces-Cライブラリについてのみ。verifyBackup="false")あり。ライブラリがlibsaml9およびlibxmltooling7にバージョンアップしています。不要なら以下のように以前のバージョンは削除してください。libxmltooling6ignoreCase属性を使用している場合は以下の情報を元にcaseSensitiveを使うように設定ファイルを更新してください。(2016/5/6)2016-07-13までに提供していたRPMパッケージはデフォルト設定ファイルのcipherSuitesに問題がありTLS接続でエラーになる可能性があります。デフォルト設定ファイルの問題ですので原則的にこの期間に新規インストールした方が対象となり、cipherSuites=の記述をコピーしていない限り以前のバージョンからアップデートした方は対象外です。cipherSuites="ECDHE+AESGCM:ECDHE:!aNULL:!eNULL:!LOW:!EXPORT:!RC4:!SHA:!SSLv2">のような記述があれば、cipherSuites="..."の部分を削除してください。message)XERCES_DISABLE_DTD=1ここに書いていた手順は機能しないことが判明しました。Hatが提供している標準パッケージのXerces-Cライブラリのバージョンが3.1.1である(2018年1月現在バックポートもされていない)ため、DTDを無効化するために必要なXerces-Cライブラリのバージョンが3.1.4以上であることを満たせません。6と同じ状況である)ため、バージョンアップすることを強く推奨します。2.6.0以上であれば自動的にDTD無効化されるため特殊な作業は必要ありません。誤った情報を提供しておりましたことをお詫びします。6では、脆弱性の温床であるDTD形式での記述を一切処理しないようにすることができます。Shibbolethおよび学認では使用しておりませんので、セキュリティ強化のため是非この手順を実施してください。実施するには、/etc/sysconfig/shibdおよび/etc/sysconfig/httpdの末尾に以下の行を加えます。XERCES_DISABLE_DTD=1shibdおよびhttpdの再起動後に、以下のようなコマンドを使って当該環境変数が設定されていることを確認してください。7では上記手順では反映されませんので、下記手順に従ってください。shibdについては、以下のようにしてsystemdの設定で環境変数を追加します。最後のコマンドで当該環境変数が設定されていることを確認してください。shibd`/environhttpdのほうはexportを省いた以下の行を/etc/sysconfig/httpdの末尾に追記します。同様に最後に記載したコマンドで当該環境変数が設定されていることを確認してください。起動時のメタデータ読み込み時にバッキングファイルの署名検証がスキップされ起動が速くなります。(CVE-2016-0729)本件はXerces-Cライブラリの脆弱性ですので当該ライブラリのアップデートのみでも対処可能です。ディストリビューションのアップデート提供時期によっては当該ライブラリのアップデート提供時期が後になることが考えられます。その場合自動再起動が行われませんので、上記手順に従って再起動(もしくはOS自体の再起動)を必ず行ってください。(CVE-2015-2684)MetadataProviderにてvalidate="true"がデフォルトになりました。これまでの設定ファイルは上書きされませんので、新規SPでだけ問題が発生している場合はこの影響である可能性があります。regexp属性を持たない<shibmd:Scope>要素がエラーになります。ちなみにIdPv3でもダウンロードしたメタデータのバリデーションを行うのがデフォルトです。7向け(systemd対応版)はリブート時に/var/run/shibboleth/が消えて起動しなくなるので2.5.5-3.1以降を使うこと。既存環境で追随するにはnative.logger.distを参考にnative.loggerを修正してください。/var/cache/shibboleth/以下に大量の*.jsonという名前のキャッシュが削除されず残る問題が、このバージョンで修正されています。このファイルが大量にある場合は、適宜削除してください。2.5.0での修正点に見落としがありましたので、下のほうに追記しました。当該warningが気になる人は対処してください。1.0.1系とリンクするようになり、可能な環境ではECDSA/GCMに対応します。/Shibboleth.sso/Metadataから利用可能なアルゴリズムが確認できます。shibboleth2.xml:DiscoveryFilterが追加され、フェデレーションメタデータ中に"hide-from-discovery"と宣言されているIdPがDiscoFeedに入らなくなります。attribute-map.xml:uidの行が追加されていますが、デフォルトでコメントアウトされています。(CVE-2013-2156)(shib.confを修正して使っている方向け)shib.confの変更点2.5.2において/etc/httpd/conf.d/shib.confに以下の追加が行なわれておりますが、shib.confを修正している場合は反映されません。必要に応じてshib.confを修正してください。サイト全体にBASIC認証等で制限をかけている場合を除いてこれによる影響はないと思われます。いう非rootユーザが新たに作られその権限で起動するようになるため、昔の学認の技術ガイドに沿って設定している場合に2点問題が生じます。技術ガイドは2011年11月に修正済みです。それ以前にSPを構築された方は以下の設定を確認してください。パーミッションの問題です。rootにしか読み取り権限を与えていない場合、2.5をインストールした時点で自動再起動がかかるため、shibdがエラーで停止してしまいます。ownerが修正されます。/etc/shibboleth/sp-key.pemこの回避策は当該秘密鍵がSPのみで使用されている場合で、slapdなど他のプロセスからも参照されている場合は注意が必要です。具体的に言うと、アップデート前の時点で秘密鍵ファイルのowner/グループがroot:rootでない場合が該当します。上述のようにシンボリックリンクを作成すると、2.5へのアップデートによってこれがshibd:shibdに強制変更されます。ACLを含めたパーミッションは変更されないようですので、setfacl等でACLを設定しておけば回避できます。2点目の問題は、ダウンロードしたメタデータのバックアップファイルを置くディレクトリのパーミッションです。バックアップを置くように設定されている場合、このディレクトリはshibdユーザの権限ではファイルが置けません。回避方法は、shibboleth2.xmlでbackingFilePath="/etc/shibboleth/metadata/federation-metadata.xml"のように絶対パスで指定している部分をbackingFilePath="federation-metadata.xml"のように相対パスに変更します。これを無視してアップデートすると以下のようなエラーがログに記録されるようになります。シンボリックリンクにしていた場合、それを元に戻してowner/グループを2.5対応に変更します。使われなくなっておりますので、紛らわしくないように削除しておきましょう。1つもファイルがなくなったら、ディレクトリ自体を削除してしまってかまいません。/etc/shibboleth/metadata/もし、事前準備後shibdを再起動していたら、/var/run/shibboleth/以下にバックアップファイルが作成されています。アップデート後は/var/cache/shibboleth/以下が使われているはずです。こちらも紛らわしくないように削除しておきましょう。いうファイルがある場合も削除してかまいません。libxml-security-cが合わせてバージョンアップしパッケージ名が変更になっています。古いバージョンは削除されないようなので、他で使っていなければ削除してしまいましょう。libxml-security-c16shibboleth2.xml静的ファイルの1つ、Shibbolethロゴが削除された影響の1つです。以前からのshibboleth2.xmlを使っている場合は以下の行を含んでいるはずですが、当該ファイルが削除されていますので、shibboleth2.xmlのこの行も削除してください。logoLocation="/shibboleth-sp/logo.jpg"また、以前からのshibboleth2.xmlをそのまま使っている場合は2.5.0以降では以下の警告が表示されるようになります。IDsattribute-map.xmlの読み込み部分にreloadChanges="false"を付けるとよいです。することでattribute-map.xmlの修正時に反映するには再起動が必要になりますが、元々そうすべきでした(そのほうが安全です)。Wikishib.conf静的ファイルの1つ、Shibbolethロゴが削除された影響のもう1つです。いうファイルが新たに作成されていると思います。差分を確認し(下記の行は削除して問題ありません)必要があれば修正の上、shib.confを置き換えてください。一部GakuNinShareでご紹介しています。message.ログには以下が記録される。NewsAtlassian。