JVNDB-2026-027048

xml::sig プロジェクトのxml::sigにおけるデジタル署名の検証に関する脆弱性

PerlのXML::Sigバージョン0.29から0.72未満では、verify関数が暗号学的チェックを行う前にすべての署名がスキップされた場合にtrueを返すため、署名検証をバイパスされる可能性があります。lib/XML/Sig.pmのverifyは`//dsig:Signature`要素をカウントして`$numsigs`に格納し、それらを繰り返し処理しますが、2つのパスがダイジェストやキーのチェックを行う前に`next`に到達します。ひとつは`SignedInfo/Reference/@URI`が要素に解決されず、かつ`$numsigs`が1より大きい場合、もうひとつは`id_attr`が設定されているときに要求されたIDと一致しないリファレンスの場合です。ループは何をチェックしたかを記録しないため、すべての署名がこれらのパスのいずれかを通過すると、verifyは条件なく`return 1`を実行して終了します。参照URIの名前が存在しないIDを指す2つの`Signature`要素、またはそのような要素1つと`id_attr`があれば、その条件を満たすことになります。信頼されていないXMLをverifyに渡す呼び出し元は、ダイジェストも署名値もチェックされていない文書に対してtrueを受け取る可能性があります。`cert`や`cert_text`の信頼アンカーはキーのチェックを行わないため、この状況を改善しません。バージョン0.28までのXML::XPathベースのverifyには署名スキップの問題がなく、この問題の影響を受けません。

xml::sig プロジェクト

• xml::sig 0.29 以上 0.72 未満

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-18568

1. National Vulnerability Database (NVD) : CVE-2026-18568
2. 関連文書 : Changes - metacpan.org
3. 関連文書 : https://github.com/perl-net-saml2/perl-XML-Sig/commit/ef22cfed1ac0f29b316d17eb79cf6480e03ae16a.patch

• [2026年08月06日]
    掲載