CERT/CCが、認証基盤「Logto」のSSO(シングルサインオン)処理に6件の脆弱性(CVE-2026-15611〜15617)があると公表した。Logtoは企業が自社サービスに「Googleでログイン」のような機能を組み込むためのオープンソース製品で、Auth0やOktaの自前運用版にあたる。厄介なのは、開発元Silverhandから「ベンダーの声明が得られないまま」情報公開に踏み切った点だ。
何が壊れているのか #
核心は「本来は厳密であるべき認証の突合処理が緩い」という共通の欠陥だ。
- メールアドレスが一致するだけで、本人確認なしに既存アカウントへ自動連携してしまう
- OIDCのリプレイ防止トークン(nonce)は、IdP側のトークンにその項目自体が無いと検証がまるごとスキップされる
- SAMLアサーションの有効期限を示すConditions要素を省略すると、検証ライブラリのチェックごと素通りする
1. なりすまし登録
本人確認の緩い外部IdPに、被害者のメアドを騙って自分名義でアカウントを作る。
2. SSOログイン
そのIdP経由でLogtoにログインを試みる。
3. 自動連携
メール一致だけを根拠に、既存の被害者アカウントへ自動でリンクされる。
4. 乗っ取り完了
被害者アカウントの権限とセッションをそのまま奪取する。
「委任すれば安全」の前提が崩れる #
SSOは「ログインを外部の専門基盤に任せれば安全」という前提で導入されることが多い。しかし今回のケースは、その委任先の実装が緩ければ、便利さと引き換えに攻撃対象が増えるだけだと示している。しかもCERT/CCはベンダーからの応答なしで公開に踏み切っており、自前でLogtoを運用する組織は公式パッチを待てない状況だ。当面はメールベースの自動連携を無効化し、上流IdP側でMFAを必須化、nonceやSAML Conditionsの欠落を検証エラーとして扱う設定に手動で切り替える対応が急務となる。
COMMENTS 0
No comments yet — be the first to leave one.