CVE-2026-80428

概要

ILIASは、認証されていない呼び出し元のために保存されたセッションデータを非直列化（deserialise）します。components/ILIAS/AuthShibboleth/resources/shib_logout.php にある Shibboleth バックチャネルエンドポイントは、ilInitialisation が認証を免除するコンテキストで実行され、そのログアウト通知ハンドラは、セッションテーブルのすべてのライブ行を読み取り、各行に保存されたデータを、構築可能なクラスを制限せずに unserialize を呼び出す手書きのパーサーに渡すことで、終了させるセッションを特定します。したがって、任意のセッション行に存在するシリアル化されたオブジェクトは、匿名リクエストに代わってインスタンス化され、それらのオブジェクトが破棄されるときにオブジェクトデストラクタが実行されます。シリアル化されたオブジェクトは、ログインせずにセッション行に配置できます。これは、LTI 認証エントリポイントがリクエストパラメータをセッションに保存し、同じ初期化コードが認証を免除するパス上で到達可能であるためです。アプリケーションにバンドルされているクラスは、破棄されるときに、自身のプロパティの1つによって命名されたファイルに JSON エンコードされた構造を書き込みます。これにより、攻撃者が制御するコンテンツが、Web ルート以下の攻撃者が選択したパスに配置され、Web サーバーユーザーとしてのコード実行につながります。バージョン 9.22、10.10、および 11.3 は、エンドポイントのログアウト通知実装を削除します。

ソース

• CVE-2026-80428PoC

  CVE-2026-80428の概念実証エクスプロイト。脆弱性とその影響を実証します。

• cve-2026-80428-ctf研究

  CVE-2026-80428（CWE-502 デシリアライゼーション）をエミュレートするコンテナ化された教育用CTFラボ。学生や研究者が安全かつ隔離された環境で演習できる。

• CVE-2026-80428 Unauthenticated PHP Object Injection via Shibboleth - ILIAS < 9.22_ 10.0 < 10.10_ 11.0 < 11.3 - RCE