CVE-2025-48994 in signxml
요약
\~에 의해 VulDB • 2026. 06. 16.
SignXML은 Python에서 W3C XML Signature 표준을 구현한 라이브러리입니다. X509 인증서 검증이 비활성화되고 HMAC 공유 비밀키가 설정된 상태(`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...)`)에서 서명을 확인할 때, 4.0.4 이전 버전의 SignXML은 잠재적인 알고리즘 혼동 공격(algorithm confusion attack)에 취약합니다. 사용자가 `signxml.XMLVerifier.verify(expect_config=...)` 설정을 통해 예상되는 서명 알고리즘을 명시적으로 제한하지 않는 경우, 공격자는 제공된 HMAC 키가 아닌 다른 키로 서명되었더라도 서로 다른(비대칭 키 기반의) 서명 알고리즘을 사용하여 예기치 않게 서명한 데이터를 제공할 수 있습니다. SignXML 4.0.4부터 `hmac_key`를 지정하면 사용자가 이미 제한하지 않은 한 허용되는 서명 알고리즘 집합이 HMAC 전용으로 제한됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.