シングルサインオンのSAMLライブラリに脆弱性、認証かわされる恐れ

脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。

» 2018年02月28日 10時50分 公開
[鈴木聖子ITmedia]

 異なるドメイン間での認証連携規格「SAML」を使った複数のシングルサインオン(SSO)サービスに脆弱性が発見され、米セキュリティ機関CERT/CCが2月27日に脆弱性情報を公開した。

 CERT/CCによると、この脆弱性を悪用された場合、リモートの攻撃者によってSAMLコンテンツが改ざんされ、SAMLサービスプロバイダーの認証をかわされてしまう恐れがある。

photo シングルサインオンのSAMLライブラリにおける脆弱性情報を、米セキュリティ機関CERT/CCが公開した

 この問題は、SSOツールなどを提供するDuo Securityが発見した。2月27日の時点で、同社の「Duo Network Gateway(DNG)」のほか、OneLoginの「python-saml」「ruby-saml」、Cleverの「saml2-js」など、複数のベンダーのSAML処理ライブラリで脆弱性が確認されている。

 CERT/CCの脆弱性情報では、CiscoやGitHub、Google、Microsoftなどが影響を受けるかどうかは、現時点で不明としている。

 DuoはDNGのバージョン1.2.10でこの問題を修正。DNGをSAMLサービスプロバイダーとして使っている場合、1.2.10またはそれ以降のバージョンに更新されていることを確認するよう促している。

関連キーワード

SAML | 脆弱性 | シングルサインオン

Copyright © ITmedia, Inc. All Rights Reserved.

セキュリティ記事ランキング

  • 本日
  • 週間
  • 半月
  • 月間

Special

- PR -

負荷が増える一方、スキル継承が難しい、システムの設計と構築に時間がかかる……。情シス座談会で明らかになった運用管理の課題をオンプレ環境で解決する方法とは

Office 365を導入したものの、利用者にアプリの動作やネットワークが“重い”と苦情を言われたら、あなたならどうしますか――原因はどこにある? とるべき対策は?

採用国の広がりを背景に、IFRSを企業評価の尺度の1つとして捉える機運も急速に高まっている。果たして企業は今後、IFRSにどう向き合うべきなのか

IoTで大量のデータを瞬時に処理することが求められる今、新たなアーキテクチャへのパラダイムシフトが起こっている。そこで重要な役割を果たすのはクラウドではなく……?

更新すると内容が変わるソフトウェアライセンス契約。人力での管理は厳しい――そう考えた千代田化工建設の選択は――「プロに任せてみよう」

ITは進化しているはずなのに、運用管理の負荷は増える一方。複雑さが増したシステムの運用管理をどう効率化すべきか? 専門家に聞いてみました!

グローバル企業が、新たに海外拠点を立ち上げる際に、得てして問題になるのが基幹システムの整備。日本とは違う業務プロセスや商習慣の差も大きな問題に……。

パスワードとICカードのように複数の要素を用いると、セキュリティを強化できる。しかし、ユーザーが使いにくいと感じれば抜け道が生じる。どうすればよいだろうか。

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -