CVE catalog
CVE-2009-3475
opensaml: CVE-2009-3475
- Severity
- Medium
- Published
- Source
- [NVD] · [CVE record]
- EPSS
- 0.89% · Oct 25, 2026
Internet2 Shibboleth Service Provider software 1.3.x before 1.3.3 and 2.x before 2.2.1, when using PKIX trust validation, does not properly handle a '\0' character in the subject or subjectAltName fields of a certificate, which allows remote man-in-the-middle attackers to spoof arbitrary SSL servers via a crafted certificate issued by a legitimate Certification Authority, a related issue to CVE-2009-2408.
Vulnerable and fixed packages
Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.
| Distribution | Package | Release | Version | Status |
|---|---|---|---|---|
| Debian | opensaml | sid | 3.3.1-4 | fixed |
| Debian | opensaml | forky | 3.3.1-4 | fixed |
| Debian | opensaml | trixie | 3.3.1-2 | fixed |
| Debian | opensaml | bookworm | 3.2.1-3+deb12u1 | fixed |
| Debian | opensaml | bookworm-security | 3.2.1-3+deb12u1 | fixed |
| Debian | xmltooling | sid | 3.3.0-3 | fixed |
| Debian | xmltooling | forky | 3.3.0-3 | fixed |
| Debian | xmltooling | trixie | 3.3.0-2 | fixed |
| Debian | xmltooling | bookworm | 3.2.3-1+deb12u1 | fixed |
| Debian | xmltooling | bookworm-security | 3.2.3-1+deb12u1 | fixed |
| Debian | shibboleth-sp | sid | 3.5.2+dfsg-1 | fixed |
| Debian | shibboleth-sp | forky | 3.5.2+dfsg-1 | fixed |
| Debian | shibboleth-sp | trixie | 3.5.0+dfsg-2+deb13u1 | fixed |
| Debian | shibboleth-sp | trixie-security | 3.5.0+dfsg-2+deb13u1 | fixed |
| Debian | shibboleth-sp | bookworm | 3.4.1+dfsg-2+deb12u1 | fixed |
| Debian | shibboleth-sp | bookworm-security | 3.4.1+dfsg-2+deb12u1 | fixed |
Fixed-version evidence
| Distribution | Package | Type | Release | Fixed version | Urgency | Origin | Bugs |
|---|---|---|---|---|---|---|---|
| Debian | opensaml | source | sid | 3.0.0-2 | not yet assigned | Not reported | Not reported |
| Debian | opensaml | source | forky | 3.0.0-2 | not yet assigned | Not reported | Not reported |
| Debian | opensaml | source | trixie | 3.0.0-2 | not yet assigned | Not reported | Not reported |
| Debian | opensaml | source | bookworm | 3.0.0-2 | not yet assigned | Not reported | Not reported |
| Debian | xmltooling | source | sid | 1.2.2-1 | not yet assigned | Not reported | Not reported |
| Debian | xmltooling | source | forky | 1.2.2-1 | not yet assigned | Not reported | Not reported |
| Debian | xmltooling | source | trixie | 1.2.2-1 | not yet assigned | Not reported | Not reported |
| Debian | xmltooling | source | bookworm | 1.2.2-1 | not yet assigned | Not reported | Not reported |
| Debian | shibboleth-sp | source | sid | 3.0.2+dfsg1-2 | not yet assigned | Not reported | Not reported |
| Debian | shibboleth-sp | source | forky | 3.0.2+dfsg1-2 | not yet assigned | Not reported | Not reported |
| Debian | shibboleth-sp | source | trixie | 3.0.2+dfsg1-2 | not yet assigned | Not reported | Not reported |
| Debian | shibboleth-sp | source | bookworm | 3.0.2+dfsg1-2 | not yet assigned | Not reported | Not reported |
OpenFactory catalog packages
Matching against OpenFactory catalog package versions is in progress.
[Debian 12 (Bookworm)]
- [libapache2-mod-shib]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [libsaml12]Unknown
Source package: [opensaml]
Details (4)
3.2.1-3+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
- [libsaml-dev]Unknown
Source package: [opensaml]
Details (4)
3.2.1-3+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
- [libsaml-doc]Unknown
Source package: [opensaml]
Details (4)
3.2.1-3+deb12u1· all · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
- [libshibsp11]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [libshibsp-dev]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [libshibsp-doc]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· all · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [libshibsp-plugins]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [libxmltooling10]Unknown
Source package: [xmltooling]
Details (4)
3.2.3-1+deb12u1· amd64 · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· arm64 · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· amd64 · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· arm64 · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
- [libxmltooling-dev]Unknown
Source package: [xmltooling]
Details (4)
3.2.3-1+deb12u1· amd64 · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· arm64 · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· amd64 · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· arm64 · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
- [libxmltooling-doc]Unknown
Source package: [xmltooling]
Details (4)
3.2.3-1+deb12u1· all · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
- [opensaml-schemas]Unknown
Source package: [opensaml]
Details (4)
3.2.1-3+deb12u1· all · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
- [opensaml-tools]Unknown
Source package: [opensaml]
Details (4)
3.2.1-3+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
3.2.1-3+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.0-2dsa · opensaml · debian · bookworm; dsa · opensaml · debian · 12
- [shibboleth-sp-common]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· all · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· all · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [shibboleth-sp-utils]Unknown
Source package: [shibboleth-sp]
Details (4)
3.4.1+dfsg-2+deb12u1· amd64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookwormFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· amd64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
3.4.1+dfsg-2+deb12u1· arm64 · bookworm-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · bookworm; dsa · shibboleth-sp · debian · 12
- [xmltooling-schemas]Unknown
Source package: [xmltooling]
Details (4)
3.2.3-1+deb12u1· all · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookwormFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
3.2.3-1+deb12u1· all · bookworm-securityFixed · Fixed:
1.2.2-1dsa · xmltooling · debian · bookworm; dsa · xmltooling · debian · 12
[Debian 13 (Trixie)]
- [libapache2-mod-shib]Unknown
Source package: [shibboleth-sp]
Details (4)
3.5.0+dfsg-2+deb13u1· amd64 · trixieFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · 13
3.5.0+dfsg-2+deb13u1· arm64 · trixieFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · 13
3.5.0+dfsg-2+deb13u1· amd64 · trixie-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · 13
3.5.0+dfsg-2+deb13u1· arm64 · trixie-securityFixed · Fixed:
3.0.2+dfsg1-2dsa · shibboleth-sp · debian · 13
- [libsaml13]Unknown
Source package: [opensaml]
Details (2)
3.3.1-2· amd64 · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
3.3.1-2· arm64 · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
- [libsaml-dev]Unknown
Source package: [opensaml]
Details (2)
3.3.1-2· amd64 · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
3.3.1-2· arm64 · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
- [libsaml-doc]Unknown
Source package: [opensaml]
Details (2)
3.3.1-2· all · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
3.3.1-2· all · trixieFixed · Fixed:
3.0.0-2dsa · opensaml · debian · 13
Observed: