JVNDB-2026-027591

Timothy LeggeのNet-SAML2におけるデジタル署名の検証に関する脆弱性

Perl向けのNet::SAML2のバージョン0.86未満では、_verify_encrypted_assertion関数が署名を持たない復号済みのEncryptedAssertionを受け入れるため、認証をバイパスされる可能性があります。_verify_encrypted_assertionはEncryptedAssertionを復号し、署名がない場合には「return $xml unless $xpath-＞exists('dsig:Signature', $assert);」の処理によって検証済みとして返します。署名の有無に応じて署名検証と信頼アンカーの検査が実行されるため、dsig:Signature要素がない復号済みのアサーションは未検証のままnew_from_xmlに渡され、そのNameIDや属性がアサーションオブジェクトに読み込まれます。SPの暗号化証明書はSAMLメタデータで公開されるため、IdPはそれを使って暗号化を行えますが、任意の第三者は署名されていないアサーションをその証明書で暗号化し、samlp:Responseでラップした後にアサーションコンシューマサービスへ送信可能です。decryption key_fileを設定してEncryptedAssertionsの受け入れを許可している呼び出し元は、信頼アンカーがカバーしないアサーションのIDフィールドを取得することになり、認証されていない第三者が任意のユーザーとして認証されてしまいます。key_fileを設定していない呼び出し元は復号を行わないため、影響を受けません。

Timothy Legge

• Net-SAML2 0.86 未満

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-18108

1. National Vulnerability Database (NVD) : CVE-2026-18108
2. 関連文書 : Client Challenge (https://metacpan.org/release/TIMLEGGE/Net-SAML2-0.85/source/lib/Net/SAML2/Protocol/Assertion.pm#L78)
3. 関連文書 : Client Challenge (https://metacpan.org/release/TIMLEGGE/Net-SAML2-0.86/changes)
4. 関連文書 : https://github.com/perl-net-saml2/perl-Net-SAML2/commit/d916468586404518b8cf3c78dbd001cc1f1046a7.patch

• [2026年08月10日]
    掲載