CVE-2026-63182 in LightSAML
要約
〜によって VulDB • 2026年10月30日
LightSAMLは、SAML 2.0のデータモデルクラス、XML直列化および逆直列化、XMLセキュリティ、証明書サポート、メッセージバインディングを実装しています。バージョン4.7.1および5.0.1以前では、LightSAMLとxmlseclibsの間で、受信したSAML署名がどのアサーションをカバーするかについて不一致が生じていました。`Response::deserialize`は `manyElementsFromXml`を使用して、`samlp:Response`の直接の子要素である`saml:Assertion`のみを取得し、`AssertionSignatureValidatorAction`は、ドキュメント内のキーではなく、Issuerによって解決された外部通信チャネル（out-of-band）で信頼されるIdP資格情報を用いてそれらの`ds:Signature`を検証します。`XMLSecurityDSig::validateReference()`は共有DOMからエンベロープ署名を削除しますが、`processRefNode()`は `//*[@Id]`という形式のXPathを通じて文書全体で`Reference URI="#id"`を解決し、`item(0)`を取得します。これはLightSAMLが消費するアサーションとは限りません。実際に署名されたアサーション（例えば以前のログイン応答など）を傍受した攻撃者は、その署名を除いたバイト列を`samlp:Extensions`のより前方に配置し、同じIDとコピーされた正当な署名を持つ偽造の直接子アサーションを表示することができます。これにより、検証は隠蔽された正当なバイト列を対象とする一方で、LightSAMLは署名されていない攻撃者制御下の`Subject/NameID`、`Conditions`、および`Attributes`を表面化し、署名検証が要求されている場合でも認証回避や権限昇格が可能になります。この動作はバージョン5.0.0および4.6.1で確認されました。本問題はバージョン4.7.1および5.0.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.