CVE-2026-18092
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Net::SAML2 dla Perla (wersje przed 0.86) umożliwia ominięcie uwierzytelniania SAML poprzez zawijanie podpisu XML. Funkcja new_from_xml odczytuje tożsamość asercji za pomocą XPath działającego na całym dokumencie, a nie na podpisanym poddrzewie, co pozwala atakującemu na dodanie niepodpisanej asercji przed podpisaną i przejęcie tożsamości użytkownika.
Ocena ryzyka
Organizacja może zaakceptować tożsamość użytkownika z asercji niepodpisanej przez IdP, nawet przy skonfigurowanym zaufanym certyfikacie CA, co prowadzi do nieautoryzowanego dostępu.
Rekomendacja
Należy zaktualizować bibliotekę Net::SAML2 do wersji 0.86 lub nowszej.
Inne podatności w Net::SAML2
Zobacz wszystkie- CVE-2026-18108Krytyczne
Podatność w bibliotece Net::SAML2 dla Perla (wersje przed 0.86) pozwala na ominięcie uwierzytelniania SAML. Funkcja _verify_encrypted_assertion akceptuje odszyfrowaną asercję bez podpisu, co umożliwia atakującemu przesłanie niepodpisanej asercji zaszyfrowanej certyfikatem SP i uwierzytelnienie się jako dowolny użytkownik.
- CVE-2026-18089Wysokie
Podatność w bibliotece Net::SAML2 dla Perla (wersje przed 0.86) umożliwia ominięcie uwierzytelniania SAML poprzez weryfikację odpowiedzi względem certyfikatu osadzonego w odpowiedzi, gdy nie skonfigurowano kotwicy zaufania. Funkcja verify_xml akceptuje odpowiedź podpisaną kluczem atakującego, co pozwala na uwierzytelnienie dowolnej asercji.
Oryginalny opis (angielski, źródło NVD)
Net::SAML2 versions before 0.86 for Perl allow SAML authentication bypass via XML signature wrapping because new_from_xml reads assertion identity with document-wide XPath instead of the signed subtree. new_from_xml reads the NameID, attribute values, SessionIndex, audience and other identity fields with document-wide XPath, such as //saml:Assertion/saml:AttributeStatement/saml:Attribute and //saml:Subject/saml:NameID, which select the first matching element in document order rather than the element covered by the verified signature. handle_response confirms that a signature is present and, when a cacert is configured, that it chains to the CA, but XML::Sig verifies only the element named by the signature's Reference URI, so unsigned sibling assertions in the same document are not covered. An attacker who holds any one IdP-signed assertion can add an unsigned attacker-authored assertion earlier in document order; the signature still verifies and the document-order XPath returns the attacker's NameID and attributes. Any caller that passes an untrusted Response to new_from_xml can accept identity fields from an assertion the IdP never signed, even when a cacert trust anchor is configured, so a party holding one valid IdP-signed assertion can authenticate as an arbitrary user.