SAML Service Provider - Critical - Access bypass - SA-CONTRIB-2020-006
Critical
拡張モジュール
2020/3/11(日本時間：GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。
●プロジェクト ：SAML Service Provider
●投稿日 ：2020/3/11
●セキュリティリスク ： Critical
●脆弱性 ：Access bypass
==概要==
このモジュールによって、外部SAML IDプロバイダーを使ったDrupalユーザーの認証を行うことが可能となります。
訪問者がユーザーアカウントの登録を行えるよう、サイトが構成されている一方で、管理者の承認を必要とする場合でも、要求元のユーザーがすでにSAMLを通じて認証を受けていれば、モジュールは管理者の承認要件を十分には実施しません。
この方法で作成されたユーザーアカウントには、匿名ユーザーを大きく上回るようなアクセス権を持たない、デフォルトのロールのみが与えられるという事実によって、この脆弱性は低減されます。
サイトをアップグレードせずにこの脆弱性の低減を行うと、パブリック登録が無効になる可能性があります。
==解決方法==
最新バージョンをインストールします。
・Drupal 8.x用のSAML Service Providerモジュールを使用する場合は、SAML Service Provider 8.x-3.7にアップグレードしてください。
SAML Service Providerプロジェクトページも参照してください。
