Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Ruby環境向け「SAMLライブラリ」に深刻な脆弱性

クライアントにSAML認証の機能を実装するライブラリ「Ruby SAML」に深刻な脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

「SAML応答」の署名を正しく検証せず、認証のバイパスが可能となる脆弱性「CVE-2024-45409」が明らかとなったもの。

アイデンティティプロバイダにより署名されたSAMLドキュメントを攻撃者が入手できる場合、攻撃者がSAMLレスポンスやアサーションを偽造し、任意のユーザーとして脆弱なシステムにログインすることが可能になるという。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値である「10.0」と評価。重要度を「クリティカル(Critical)」とレーティングしている。

現地時間9月10日にリリースされた「同1.17.0」「同1.12.3」にて脆弱性は修正された。また依存関係を持つ「OmniAuth SAML」も影響を受けるとしており、脆弱性を修正した「同2.2.1」が提供されている。

(Security NEXT - 2024/09/13 ) このエントリーをはてなブックマークに追加

PR

関連記事

情報セキュリティ教室の参加者一覧が閲覧可能に - NII
採用職員の健診関連情報含む名簿を誤送信 - 奈良県
クレカ不正利用、前四半期比2割増 - 200億円迫る勢い
QNAP、アドバイザリ9件を公開 - 複数脆弱性を修正
アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響
掲示板ツール「vBulletin」に深刻な脆弱性 - 実証コードや悪用も
患者画像など所在不明、調査で持出も判明 - 富山大病院
先週注目された記事(2025年6月1日〜2025年6月7日)
児童や保護者の個人情報含むファイルを保育施設にメール誤送信 - 龍ケ崎市
オーダーカーテンの通販サイトで侵害被害か - 詳細を調査中