CVE-2026-49283

总结

SimpleSAMLphp SAML2 库是一个用于 SAML2 相关功能的 PHP 库。在 4.19.3、4.20.2、5.0.6 和 6.2.1 版本之前，`HTTPArtifact::receive()` 流程可能将未签名的嵌入式 SAML Response 错误地视为对错误身份提供方在密码学上有效。`SOAPClient::addSSLValidator()` 将基于 TLS 的验证器附加到外部 SOAP ArtifactResponse，而嵌入式 Response 接收到的验证器则委托给外部消息，并在之后根据从嵌入式 response 签发者（而非必然是 artifact 签发者）选择的元数据进行校验。当 TLS 公钥与正在验证的密钥不匹配时，`SOAPClient::validateSSL()` 会正常返回，而 `SAML2\Message::validate()` 将未抛出异常的验证器调用视为成功。因此，在多 IdP 联合体中，恶意或低信任度的 IdP 可以提供包含未签名 Response 的 ArtifactResponse，该 Response 声称高信任度的受害者 IdP 为签发者，并可使用攻击者选择的断言属性、NameID 和会话数据以任意用户身份进行认证。此问题已在 4.19.3、4.20.2、5.0.6 和 6.2.1 版本中修复。

• security-research研究

  我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）