SAML認証ライブラリに脆弱性の指摘 - CVE番号は「拒絶」に

SAML認証の機能を提供するnpmパッケージ「Node-SAML」に認証回避の脆弱性が明らかとなり、アップデートで修正された。GitHubでは「クリティカル」と評価されているが、CVE番号は「拒絶」扱いとなっており、今後脆弱性の評価やCVE番号の取り扱いについて注意が必要となる。

アイデンティティプロバイダ（IdP）より発行された有効な署名を持つSAMLレスポンスを持つ場合に、認証のバイパスが可能となる脆弱性が明らかとなったもの。「同5.0.1」「同3.1.2」および以前のバージョンが影響を受けるという。

未検証の署名部分よりアサーションを読み込む実装となっており、検証をすり抜けることが可能。署名とは異なるユーザー名へ改ざんしてログインするなど悪用できるとしている。

GitHubでは同脆弱性を「GHSA-m837-g268-mmv7」として識別しており、CVE番号「CVE-2025-54369」を採番した。

共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.3」、重要度を「クリティカル（Critical）」とレーティングしている。

（Security NEXT - 2025/07/28 ）ツイート