LightSAML CVE-2026-63182：簽名引用包裝允許未簽名宣告，導致身份冒充
CVE-2026-63182 - LightSAML: Signature reference wrapping permits unsigned assertion claims
LightSAML 版本 4.6.1 與 5.0.0 發現簽名引用包裝漏洞，允許攻擊者偽造未簽名的 SAML 宣告，導致身份冒充與許可權提升。
此漏洞允許攻擊者繞過 SAML 簽名驗證，導致身份冒充與許可權提升，建議立即升級至 4.7.1 或 5.0.1 以防範。
譯文尚未完整，完整內容請切換至原文。
LightSAML 提供 SAML 2.0 資料模型類別、XML 序列化與反序列化、XML 安全、憑證支援，以及訊息繫結。 在 4.7.1 與 5.0.1 之前，LightSAML 與 xmlseclibs 對進來的 SAML 簽章所覆蓋的斷言存在分歧。 `Response::deserialize` 只會收集 `samlp:Response` 的直接子層 `saml:Assertion` 元素，並且 `AssertionSignatureValidatorAction` 會使用 Issuer 解析出的離線受信任 IdP 憑證來驗證其 `ds:Signature`，而不是檔案中的金鑰。 `XMLSecurityDSig::validateReference()` 會從共享 DOM 中移除包裹式簽章，但 `processRefNode()` 會以 `//*[@Id]` 形式的 XPath 在檔案範圍內解析 `Reference URI="#id"`，並取 `item(0)`，這不一定是 LightSAML 會消費的斷言。 攻擊者若捕獲到一個真實簽署的斷言，例如較早的登入回應，便可將其已去除簽章的位元組放在 `samlp:Extensions` 的較前位置，並呈現一個具有相同 ID 並複製真實簽章的偽造直接子斷言。驗證將覆蓋隱藏的真實位元組，而 LightSAML 則呈現未簽署的攻擊者控制的 `Subject/NameID`、`Conditions` 與 `Attributes`，即使要求簽章驗證也能進行身份驗證繞過或許可權提升。此行為已在版本 5.0.0 與 4.6.1 中確認。此問題已於版本 4.7.1 與 5.0.1 修正。
影響
受影響產品
以下產品受 CVE-2026-63182
漏洞影響。
即使 cvefeed.io 知道受影響產品的精確版本，
這些資訊仍未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
更新至 4.7.1 或 5.0.1 版以修正 SAML 簽章驗證問題。
- 將 LightSAML 更新至 4.7.1 或更高版本。
- 將 LightSAML 更新至 5.0.1 或更高版本。
- 套用供應商針對 SAML 安全的補丁。
在此，您將找到精心挑選的外部連結，提供有關
CVE-2026-63182 的深入資訊、實用解決方案與有價值工具。
雖然 CVE 識別特定的漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-63182 相關聯的 CWEs 如下：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-63182 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表為已在 GitHub 上釋出的公開攻擊與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中提及 CVE-2026-63182 漏洞的新聞。
以下表格列出隨時間變化對 CVE-2026-63182 漏洞所作的更改。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新增 CVE 已接收 由 [email protected]
十月. 30, 2026
動作 型別 舊值 新值 新增 描述 LightSAML 實作了 SAML 2.0 資料模型類別、XML 序列化與反序列化、XML 安全、憑證支援以及訊息繫結。 在 4.7.1 與 5.0.1 之前，LightSAML 與 xmlseclibs 對於入站 SAML 簽章所覆蓋的 assertion 存有分歧。 `Response::deserialize` 只會收集 `samlp:Response` 的直屬子節點 `saml:Assertion`，而 `AssertionSignatureValidatorAction` 則使用由 Issuer 解析出的離線可信 IdP 憑證來驗證其 `ds:Signature`，而非檔案中的金鑰。 `XMLSecurityDSig::validateReference()` 會從共享 DOM 中移除包裝簽章，但 `processRefNode()` 會以 XPath `//*[@Id]` 在整份檔案中解析 `Reference URI="#id"`，並取 `item(0)`，這不一定是 LightSAML 會消費其宣告的 assertion。 若攻擊者已捕獲一筆真實簽署的 assertion（例如先前的登入回應），他可以將其去除簽章的位元組放在 `samlp:Extensions` 的較前位置，並呈現一筆偽造的直屬子 assertion，擁有相同的 ID 並複製真實簽章。此時驗證會覆蓋隱藏的真實位元組，而 LightSAML 則會顯示未簽署的攻擊者控制的 `Subject/NameID`、`Conditions` 與 `Attributes`，即使需要簽章驗證，也能實現身份驗證繞過或許可權提升。此行為已在 5.0.0 與 4.6.1 版本確認，問題已在 4.7.1 與 5.0.1 版本修正。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N 新增 CWE CWE-347 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/63xxx/CVE-2026-63182.json">CVE-2026-63182</a> 新增 參考 https://github.com/litesaml/lightsaml/commit/230e62d1325f2cbcaac814b78409775f7a8806a2 新增 參考 https://github.com/litesaml/lightsaml/commit/3af82bf2f3865e6aafeeb1a97c97b383b8bb7b00 已新增 參考 https://github.com/litesaml/lightsaml/pull/113 已新增 參考 https://github.com/litesaml/lightsaml/pull/122 已新增 參考 https://github.com/litesaml/lightsaml/releases/tag/4.7.1 已新增 參考 https://github.com/litesaml/lightsaml/releases/tag/5.0.1 已新增 參考 https://github.com/litesaml/lightsaml/security/advisories/GHSA-w553-pwx6-3mg9
EPSS 是每日估計在接下來 30 天內觀察到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。