失効したユーザーでもログイン可能、Slackも影響を受けたSAMLの脆弱性とは？：ホワイトハットハッカーを有効活用

失効したログイン認証情報を使用してシステムの利用許可権限が与えられてしまうSAMLに関する重大な脆弱（ぜいじゃく）性の問題がSlackにおいて発見された。「Confused Deputy」と名付けられた問題の解決方法とは？

[Matthew Pascucci，TechTarget]

情報を共有し、素早い解決を目指す。

　Slackの利用中にConfused Deputyと呼ばれる問題を発生させる、SAMLの重大な脆弱（ぜいじゃく）性をセキュリティ研究者が発見した。

　Confused Deputyとは直訳すると「混乱した使節、代理人」となる。これは、実際の法執行機関の担当者が混乱していることではなく、アプリケーションがあるソフトウェアなどを実行する許可（権限）を得ている場合に、全く別のソフトウェアなどでも許可が取れてしまう事象を指す。

併せて読みたいお勧め記事

認証連携プロトコル「SAML」とは

• “パスワード認証の悪夢”から解放する「フェデレーション」の底力

話題になった脆弱性は他にも

• 「Meltdown」「Spectre」の脆弱性、大手クラウドサービスが格好の標的に
• Windows標準のマルウェア対策エンジンに「最悪」の脆弱性、どうしてこうなった？
• Bluetoothが危ない　背筋が凍る8つの脆弱性「BlueBorne」とは？
• 「無線LANはもう安全に使えない」は誤解？　WPA2脆弱性「KRACK」を正しく恐れる

　Confused Deputyは、シングルサインオンやID連携で利用される言語「Security Assertion Markup Language（SAML）」にも適用されるため、権限の悪用が可能になってしまう。

　Adobe Systemsのセキュリティ研究者兼上級ソフトウェアエンジニアのアントニオ・サンソ氏が、SAMLを使用してWebサイトを検索しているときにConfused Deputy問題を発見した。Slackにログインを試みたとき、失効したはずのSAMLアサーション（表明）を使ってSlackにアクセスする権限が依然として与えられており、ログインに成功した。

SAML脆弱性が引き起こす脅威