CVE-2026-86304 in MojoX::Authentication
要約
〜によって VulDB • 2026年09月07日
Perl用のMojoX::Authenticationの0.006より前のバージョンでは、parse_assertionが信頼アンカーなしでNet::SAML2::Binding::POSTを構築するため、SAML認証のバイパスが可能である。
MojoX::Authentication::Model::SAML2におけるparse_assertionは、cacert、cert_text、またはanchors引数なしでNet::SAML2::Binding::POST->newを呼び出し、その後返されたXMLをIdP署名証明書（cacertとして）を使用してNet::SAML2::Protocol::Assertion->new_from_xmlに渡す。0.86より前のNet::SAML2では、その証明書は暗号化されたアサーションのみを対象とするため、復号されていないアサーションの署名は、レスポンス自体が持つ証明書に対して検証される。
攻撃者はSAMLログインを開始し、その後、自分自身の証明書で署名されたレスポンスを投稿する。続くaudience、InResponseTo、およびタイムスタンプの確認はすべて攻撃者によって満たすことができるため、そのレスポンスに含まれる任意のNameIDを認証してしまう。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.