ニュース
» 2018年02月28日 10時50分 公開

シングルサインオンのSAMLライブラリに脆弱性、認証かわされる恐れ

脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。

[鈴木聖子,ITmedia]

 異なるドメイン間での認証連携規格「SAML」を使った複数のシングルサインオン(SSO)サービスに脆弱性が発見され、米セキュリティ機関CERT/CCが2月27日に脆弱性情報を公開した。

 CERT/CCによると、この脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。

photo シングルサインオンのSAMLライブラリにおける脆弱性情報を、米セキュリティ機関CERT/CCが公開した

 この問題は、SSOツールなどを提供するDuo Securityが発見した。2月27日の時点で、同社の「Duo Network Gateway(DNG)」のほか、OneLoginの「python-saml」「ruby-saml」、Cleverの「saml2-js」など、複数のベンダーのSAML処理ライブラリで脆弱性が確認されている。

 CERT/CCの脆弱性情報では、CiscoやGitHub、Google、Microsoftなどが影響を受けるかどうかは、現時点で不明としている。

 DuoはDNGのバージョン1.2.10でこの問題を修正。DNGをSAMLサービスプロバイダーとして使っている場合、1.2.10またはそれ以降のバージョンに更新されていることを確認するよう促している。

関連キーワード

SAML | 脆弱性 | シングルサインオン


Copyright © ITmedia, Inc. All Rights Reserved.

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -