12月14日，Mattermost与Golang精英团队公布了3个Go 语言表达XML 解析器安全性漏洞。漏洞危害好几个根据Go 的SAML 完成，很有可能引起详细的SAML 验证绕过。
XML 解析器不可以确保一致性
下边列举的Golang XML 语言表达解析器漏洞造成在编号和编解码XML 键入时并不会回到靠谱的結果，换句话说XML markup(标识)在应用解析器开展伺服电机的时候会回到不持续的、出现意外的結果：
- CVE-2020-29509: Go的encoding/xml中XML 特性不稳定
- CVE-2020-29510: Go的encoding/xml中XML 命令不稳定
- CVE-2020-29511: Go的encoding/xml中XML 原素不稳定
这种漏洞是密切有关的，在其中主要的共性问题是：故意仿冒的XML markup可以根据GO的编解码完成在积放通讯中会产生基因变异(转变)。
Mattermost 商品注安师Nurminen 表述说，假如运用应用XML 解析器，那麼伺服电机和视频解码器就不容易保存初始markup的语义。
运用在解决XML 和分析并不是以前分析和实例化的输入输出的markup时，就无法确保分析的输入输出和上一轮的输出是配对的。也就是说，根据Go 的伺服电机和视频解码器传送XML 并不可以保存其语义。
在其中一个补丁包也证实了因为这种漏洞，在XML 分析期内的确会产生不持续的状况。例如，`
SAML 验证绕过
这看上去是个简便的漏洞，尽管很多运用都期待能完成语义的一致性，但这种漏洞很有可能会导致明显的不良影响。
例如，网络攻击可以开启利用以上XML 解析器的SAML 完成来绕过SAML 验证。Security Assertion Markup Language (SAML)是一种web认证规范，被很多流行网址和服务项目应用。因为这种漏洞，根据Go 的SAML完成可以被网络攻击利用，根据引入故意markup到恰当签字的SAML信息中，那样看上去是通过恰当签字的，可是其语义与初始文本文档就彻底不一样了。
针对SAML SSO系统软件而言，网络攻击利用有漏洞的XML 解析器很有可能会引起管理权限提高或验证绕过。
现阶段沒有补丁包
现阶段，Go 安全性精英团队早已公布安全性公示，可是现阶段都还没补丁包来迅速修补这种安全性漏洞。由于round-trip (积放)可靠性并布署encoding/xml适用的安全性特点，因而仅仅补丁包自身也不能保证XML 分析的稳定性。
可是现阶段己经有好几个根据Go 的SAML 新项目公布了修补版本号，例如：
- Dex IDP version 2.27.0
- github.com/crewjam/saml version 0.4.3
- github.com/russellhaering/gosaml2 version 0.6.0
大量关键技术参照：https://mattermost.com/blog/coordinated-disclosure-go-xml-vulnerabilities/
文中翻譯自：
https://www.bleepingcomputer.com/news/security/critical-golang-xml-parser-bugs-can-cause-saml-authentication-bypass/