SAML SSO - Service Provider - Critical - Weak cryptographic practices - SA-CONTRIB-2026-144
Critical
拡張モジュール
日本時間2026/9/10、SAML SSO - Service Providerにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： SAML SSO - Service Provider
●投稿日 ：2026/9/10 JST
●セキュリティリスク ：Critical
●脆弱性 ：Weak cryptographic practices
●対象バージョン ： <3.2.0
==概要==
このモジュールは、外部のIDプロバイダーを通じてユーザーが認証できるよう、DrupalサイトをSAML 2.0サービスプロバイダーとして設定する機能を提供します。
このモジュールでは、現在のセキュリティのベストプラクティスに沿わない暗号処理が使用されています。特定の署名比較において定数時間比較ではないロジックが使用されているほか、暗号学的に安全でない乱数生成に基づいた予測可能な値からSAMLリクエストIDが生成されています。
これらの弱点だけを利用した実際の認証回避は確認されていませんが、SAML認証フロー全体のセキュリティマージンを低下させる可能性があります。
==解決方法==
最新バージョンをインストールしてください。
SAML SSO - Service Providerモジュールを利用している場合は miniorange_saml 3.2.0 にアップデートしてください。
