CVE-2026-28809 in esaml
要約
〜によって VulDB • 2026年06月14日
esaml（およびそのフォーク）におけるXML外部エンティティ（XXE）の脆弱性により、攻撃者はシステムにローカルファイルを読み込ませ、その内容を処理済みのSAMLドキュメントに組み込ませることができ、さらに悪意のあるSAMLメッセージを通じてSSRFを実行する可能性があります。
esamlは、署名検証の前にxmerl_scan:string/2を使用して攻撃者が制御するSAMLメッセージを解析しますが、XMLエンティティの展開を無効にしていません。Erlang/OTPの27より前のバージョンでは、Xmerlはデフォルトでエンティティを許可するため、署名前のXXE攻撃が可能になります。攻撃者は、ホストにローカルファイル（例：Kubernetesマウントされたシークレット）をSAMLドキュメント内に読み込ませることができます。攻撃者が信頼されたSAML SPでない場合、署名検証は失敗しドキュメントは破棄されますが、ファイルの内容はログやエラーメッセージを通じて依然として漏洩する可能性があります。
この問題はesamlの全バージョンに影響します。これにはarekinath、handnot2、dropboxによるフォークも含まれます。Erlang/OTP 27以降で実行しているユーザーは、Xmerlがデフォルトでエンティティが無効になっているため、影響を受けません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.