SAML認証ライブラリ「Node-SAML」に再度深刻な脆弱性

SAML認証の機能を提供するnpmパッケージ「Node-SAML」に認証のバイパスが可能となる深刻な脆弱性が明らかとなった。数日前にも類似した脆弱性が報告されているが、異なる脆弱性として扱われている。

現地時間2025年7月28日にアドバイザリが公開され、署名された正規の「SAMLレスポンス」を改ざんし、認証をバイパスできる脆弱性「CVE-2025-54419」が明らかとなったもの。

署名が検証されていないオリジナルのレスポンスドキュメントを処理することに起因しており、未検証の部分を改ざんすることで認証の回避が可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値の「10.0」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

「Node-SAML」に関しては、GitHubで「GHSA-m837-g268-mmv7」とされる別の脆弱性が7月24日に公表されたばかり。同脆弱性には「CVE-2025-54369」が割り当てられたが、CVEデータベース上では誤って発行されたCVE番号とし、「拒絶」扱いとなっている。

（Security NEXT - 2025/07/30 ）ツイート