CVE-2026-18092 in Net::SAML2
Zusammenfassung
von VulDB • 04.08.2026
In Net::SAML2-Versionen vor 0.86 für Perl ist eine Umgehung der SAML-Authentifizierung durch XML-Signatur-Wrapping möglich, da `new_from_xml` die Identität des Assertions mit einer dokumentweiten XPath-Abfrage liest, anstatt den signierten Teilbaum zu verwenden.
`new_from_xml` liest NameID, Attributwerte, SessionIndex, Audience und andere Identitätsfelder mit dokumentweiten XPath-Ausdrücken wie `//saml:Assertion/saml:AttributeStatement/saml:Attribute` und `//saml:Subject/saml:NameID`, die das erste übereinstimmende Element in Dokumentreihenfolge auswählen, anstatt das Element, das durch die verifizierte Signatur abgedeckt ist. `handle_response` bestätigt zwar das Vorhandensein einer Signatur und – wenn ein cacert konfiguriert ist –, dass diese zur CA zurückverfolgt werden kann, aber XML::Sig überprüft nur das Element, auf das der Reference-URI der Signatur verweist; daher sind nicht signierte Geschwisterassertions im selben Dokument nicht abgedeckt. Ein Angreifer, der eine beliebige von einer IdP signierte Assertion besitzt, kann eine vom Angreifer erstellte, nicht signierte Assertion früher in der Dokumentreihenfolge einfügen; die Signatur bleibt weiterhin gültig, und die XPath-Abfrage in Dokumentreihenfolge gibt den NameID des Angreifers sowie dessen Attribute zurück.
Jeder Aufrufer, der `new_from_xml` eine nicht vertrauenswürdige Response übergibt, kann Identitätsfelder aus einer Assertion akzeptieren, die von der IdP niemals signiert wurde, selbst wenn ein cacert-Vertrauensanker konfiguriert ist; somit kann eine Partei, die eine gültige, von der IdP signierte Assertion besitzt, sich als beliebiger Benutzer authentifizieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.