JVNDB-2026-027593

Timothy LeggeのNet-SAML2における複数の脆弱性

Perl用のNet::SAML2 0.86以前のバージョンでは、信頼できるアンカーが設定されていない場合に、verify_xmlがレスポンスに埋め込まれた証明書を用いてレスポンスを検証することにより、SAML認証をバイパスすることが可能です。Net::SAML2::Role::VerifyXMLのverify_xmlは、XML::Sigの検査が成功するとすぐに「return if !$anchors && !$cacert;」を実行します。この検査ではレスポンス自身のdsig:KeyInfo/dsig:X509Certificate要素から取得されたX.509証明書を利用しているため、信頼アンカーが設定されていないレスポンスは、そのレスポンスに含まれる鍵によってのみ検証されます。Binding::POSTはcacertをオプショナルなMaybe[Str]型として宣言しており、デフォルト値がないため、cacertなしで構築されたPOSTバインディングはこのコードパスを通過し、_verify_encrypted_assertionも同様に「return $xml unless $cacert;」で早期リターンします。cacert、cert_text、あるいはanchors引数なしでBinding::POSTを構築するかAssertion-＞new_from_xmlを呼び出す呼び出し元は、そのレスポンスに自己署名証明書が埋め込まれた攻撃者が生成した鍵によって署名されたレスポンスを受け入れてしまい、任意のアサーションの認証を可能にしてしまいます。

Timothy Legge

• Net-SAML2 0.86 未満

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 不正な証明書検証(CWE-295) [その他]
2. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-18089

1. National Vulnerability Database (NVD) : CVE-2026-18089
2. 関連文書 : Client Challenge
3. 関連文書 : lib/Net/SAML2/Role/VerifyXML.pm - metacpan.org
4. 関連文書 : Changes - metacpan.org
5. 関連文書 : lib/Net/SAML2/Binding/POST.pm - metacpan.org

• [2026年08月10日]
    掲載