ページ履歴

...

※ 2.5.1から2.5.2へのアップデートはhttpdおよびshibdを自動的に再起動する模様。2.4.3から2.5.2へのアップデートでは再起動されない模様。

注意点

Apache 2.2およびそれ以前からApache 2.4へ移行する場合、設定ファイルの ShibCompatWith24 の行はコメントアウトもしくは削除してください。
2016-12-08 [upki-fed:01115] Re: Proxy配下でのSP構築に関して
また、require valid-user など、許容される構文もしくはその意味が変わっておりますので、昔の設定を引き継いで使っている方はご注意ください。
⇒ Shibboleth Wiki: Apache Compatibility Changes, NativeSPApacheConfig, NativeSPhtaccess

...

Shibbolethプロダクトに関する下記以外のセキュリティフィックスおよび脆弱性情報は以下のページにてご覧いただけます。
⇒ Shibboleth Wiki: SecurityAdvisories

SP 2.5.x から SP 2.6.

...

x へアップデートする場合の注意点

*はセキュリティフィックス

• 2.6.0(*)
  セキュリティフィックスはXerces-Cライブラリについてのみ。
  いくつか機能追加および運用改善オプション（XERCES_DISABLE_DTD=1 および verifyBackup="false"）あり。
  ignoreCase属性を使用している方向け情報: [upki-fed:01064] Shibboleth SP脆弱性情報にかかる補足（Re: Shibboleth SP の脆弱性について (2016/5/6)
  （情報整理中）

...

• 2.5.6(*) [upki-fed:01018] Shibboleth SPの脆弱性について(2016.2.26) (CVE-2016-0729)
  （情報整理中）
  
  • 本件はXerces-Cライブラリの脆弱性ですので当該ライブラリのアップデートのみでも対処可能です。またディストリビューションのアップデート提供時期によっては当該ライブラリのアップデート提供時期が後になることが考えられます。その場合自動再起動が行われませんので、上記手順に従って再起動（もしくはOS自体の再起動）を必ず行ってください。
• 2.5.5(*) [upki-fed:00950] Shibboleth SP の脆弱性について (2015/7/21) (CVE-2015-2684)
  （情報整理中）
  • 初期のCentOS 7向け（systemd対応版）はリブート時に/var/run/shibboleth/が消えて起動しなくなるので2.5.5-3.1以降を使うこと。

• 2.5.4(*) [upki-fed:00923] Shibboleth SP の脆弱性について (2015/3/19) (CVE-2015-0252)

  expand
  • titlemod_shibのログのデフォルト出力先の変更2.5.4からmod_shibのログのデフォルト出力先が /var/log/httpd/{native.log,native_warn.log} から /var/log/shibboleth-www/{native.log,native_warn.log} に変更になっています。
    既存環境で追随するにはnative.logger.distを参考にnative.loggerを修正してください。
  • 2.5.0での修正点に見落としがありましたので、下のほうに追記しました。当該warningが気になる人は対処してください。⇒2.5.0のshibboleth2.xml
  • このバージョン前後でOpenSSL 1.0.1系とリンクするようになり、可能な環境ではECDSA/GCMに対応します。/Shibboleth.sso/Metadataから利用可能なアルゴリズムが確認できます。

  • shibboleth2.xml:
    DiscoveryFilterが追加され、フェデレーションメタデータ中に"hide-from-discovery"と宣言されているIdPがDiscoFeedに入らなくなります。

  • attribute-map.xml:
    uidの行が追加されていますが、デフォルトでコメントアウトされています。（情報整理中）

• 2.5.2(*) Shibboleth SP heap overflow processing InclusiveNamespace PrefixList (CVE-2013-2156)

  展開
  title （shib.confを修正して使っている方向け）shib.confの変更点
  2.5.2において/etc/httpd/conf.d/shib.confに以下の追加が行なわれておりますが、shib.confを修正している場合は反映されません。必要に応じてshib.confを修正してください。 なお、サイト全体にBASIC認証等で制限をかけている場合を除いてこれによる影響はないと思われます。 パネル # LoadModule mod_shib /usr/lib64/shibboleth/mod_shib_22.so # # Ensures handler will be accessible. # <Location /Shibboleth.sso>   Satisfy Any   Allow from all </Location>   # # Used for example style sheet in error templates. # <IfModule mod_alias.c>   <Location /shibboleth-sp>     Satisfy Any     Allow from all   </Location>

• 2.5.1(*)
  特になし

SP 2.4.x から SP 2.5.

...

x へアップデートする場合の注意点

0. 事前準備

以前情報交換メーリングリストでご案内いたしましたように、rpmパッケージで導入されている場合は、shibd という非rootユーザが新たに作られその権限で起動するようになるため、昔の学認の技術ガイドに沿って設定している場合に2点問題が生じます。技術ガイドは2011年11月に修正済みです。それ以前にSPを構築された方は以下の設定を確認してください。

...

--- /etc/httpd/conf.d/shib.conf	2013-05-21 19:33:44.696374317 +0900
+++ /etc/httpd/conf.d/shib.conf.rpmnew	2013-01-10 04:30:48.000000000 +0900
@@ -20,7 +20,6 @@
     Allow from all
   </Location>
   Alias /shibboleth-sp/main.css /usr/share/shibboleth/main.css
-  Alias /shibboleth-sp/logo.jpg /usr/share/shibboleth/logo.jpg
 </IfModule>

 #

2

...

. SP 2.5.0からの新機能

一部GakuNinShareでご紹介しています。
⇒Shibboleth SP 2.5.0からの新機能

• WebアプリケーションのログアウトフローへのShibbolethログアウト処理の挿入
• Attribute Checker Handler
• ローカルからあたかもIdPで認証されたような状態にする機能2つ（GakuNinShare未掲載のためShibboleth Wikiへのリンク）
  • SAML Artifact Spoofing
  • External Authentication Handler
• IdPから取得した属性に対する操作がいろいろと追加されました（GakuNinShare未掲載のためShibboleth Wikiへのリンク）

  • Transform AttributeResolver

  • Template AttributeResolver

  • UpperCase AttributeResolver

  • LowerCase AttributeResolver

3. その他の情報

• 展開
  title その他未整理の情報
  PKCS#1.5使えなくなった - /etc/shibboleth/security-policy.xml       <AlgorithmBlacklist includeDefaultBlacklist="true"/> 新機能Metadata Attribute Extractor non-ASCIIでエラー SSPCPP-547 _shibsession_* cookie HttpOnlyが付くようになった _shibstate_* 時限付き acl ::1入った helpLocation="/about.html" cookieProps書式変更 handlerSSL="true" shibboleth2.xmlの書式エラーでhttpdが起動しなくなった？ /var/log/httpd/native.log, native_warn.logが記録されるようになる 2012-08-08 04:35:19 CRIT XMLTooling.Logging : error in file permissions or logging configuration: exception creating appender: failed to open log file (/var/log/httpd/native.log) 2012-08-08 04:35:19 CRIT Shibboleth.Config : failed to load new logging configuration from (native.logger) https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPConfigurationChanges https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPInterestingFeatures requireAuthenticatedEncryption signResponse="conditional"にしないと opensaml::FatalProfileException at (https://HOSTNAME/Shibboleth.sso/SAML2/POST) A valid authentication statement was not found in the incoming message. ログには以下が記録される。 2012-10-14 09:26:14 ERROR Shibboleth.SSO.SAML2 [7]: failed to decrypt assertion: Unauthenticated data encryption algorithm unsupported. 2012-10-13 18:54:49 WARN Shibboleth.PropertySet : deprecation - remapping property (relayStateLimit) to (redirectLimit) 2012-10-13 18:54:49 WARN Shibboleth.Application : empty/missing cookieProps setting, set to "https" for SSL/TLS-only usage 2012-10-13 18:54:49 WARN Shibboleth.Application : handlerSSL should be enabled for SSL/TLS-enabled web sites

...