ニュース
シングルサインオンのSAMLライブラリに脆弱性、認証かわされる恐れ
脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。
異なるドメイン間での認証連携規格「SAML」を使った複数のシングルサインオン(SSO)サービスに脆弱性が発見され、米セキュリティ機関CERT/CCが2月27日に脆弱性情報を公開した。
CERT/CCによると、この脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。
この問題は、SSOツールなどを提供するDuo Securityが発見した。2月27日の時点で、同社の「Duo Network Gateway(DNG)」のほか、OneLoginの「python-saml」「ruby-saml」、Cleverの「saml2-js」など、複数のベンダーのSAML処理ライブラリで脆弱性が確認されている。
CERT/CCの脆弱性情報では、CiscoやGitHub、Google、Microsoftなどが影響を受けるかどうかは、現時点で不明としている。
DuoはDNGのバージョン1.2.10でこの問題を修正。DNGをSAMLサービスプロバイダーとして使っている場合、1.2.10またはそれ以降のバージョンに更新されていることを確認するよう促している。
関連記事
- シングルサインオンのOneLoginに不正アクセス、顧客情報に被害
OneLoginは顧客宛ての通知で、「米国のデータセンターを使っている全顧客が影響を受ける。暗号化されたデータを複合できる能力も含め、顧客データが被害に遭った」と説明している。 - セキュリティチップにRSA暗号鍵の脆弱性、GoogleやMicrosoftの製品にも影響
Infineon製のセキュリティチップに、RSA秘密鍵を取得されてしまう脆弱性が発覚。問題のセキュリティチップはGoogleやMicrosoftなど幅広いメーカーの製品に使われている。 - iOSのソースコード、一部がGitHubに流出
iOSが起動する際の認証を担う「iBoot」のソースコードがGitHubに掲載されていた。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.