XML数字签名规范HMAC截尾绕过认证漏洞

XML数字签名规范HMAC截尾绕过认证漏洞 受影响系统： 
W3C XMLDsig 
描述： 
-------------------------------------------------------------------------------- 
BUGTRAQ  ID: 35671 
CVE(CAN) ID: CVE-2009-0217 

XML签名是一种基于XML格式的签名规范，可提供对任何数据类型的完整性、消息认证和签名者认证服务。 

XML签名句法和处理（XMLDsig）支持HMAC截尾。当HMAC截尾受安全者控制时，就可能导致绕过认证。例如，如果将HMACOutputLength指定为1，就仅会验证签名的第一位，因此可能将安全者所伪造的XML签名验证为有效。 

<*来源：Thomas Roessler 
  
  链接：http://secunia.com/advisories/34461/ 
        http://www-01.ibm.com/support/docview.wss?rs=180&uid=swg21384925 
        http://www.w3.org/2008/06/xmldsigcore-errata.html#e03 
        http://www.kb.cert.org/vuls/id/466161 
*> 

建议： 
-------------------------------------------------------------------------------- 
厂商补丁： 

W3C 
--- 
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： 

http://www.w3.org/TR/xmldsig-core/