シングルサインオンのSAMLライブラリに脆弱性、認証かわされる恐れ

[鈴木聖子，ITmedia]

　異なるドメイン間での認証連携規格「SAML」を使った複数のシングルサインオン（SSO）サービスに脆弱性が発見され、米セキュリティ機関CERT/CCが2月27日に脆弱性情報を公開した。

　CERT/CCによると、この脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。

シングルサインオンのSAMLライブラリにおける脆弱性情報を、米セキュリティ機関CERT/CCが公開した

　この問題は、SSOツールなどを提供するDuo Securityが発見した。2月27日の時点で、同社の「Duo Network Gateway（DNG）」のほか、OneLoginの「python-saml」「ruby-saml」、Cleverの「saml2-js」など、複数のベンダーのSAML処理ライブラリで脆弱性が確認されている。

　CERT/CCの脆弱性情報では、CiscoやGitHub、Google、Microsoftなどが影響を受けるかどうかは、現時点で不明としている。

　DuoはDNGのバージョン1.2.10でこの問題を修正。DNGをSAMLサービスプロバイダーとして使っている場合、1.2.10またはそれ以降のバージョンに更新されていることを確認するよう促している。