JVNVU#466161
XML 署名の検証において認証回避が可能な問題

XML 署名 (XMLDsig) で規定されている HMAC truncation に起因する認証回避が可能な問題が存在します。

XMLDsig を使用している製品が本問題の影響を受ける可能性があります。

XMLDsig は、デジタル署名のための XML 構文を規定する W3C 勧告の一つです。XMLDsig は SOAP などのウェブサービスで使用されています。XMLDsig は RFC 2104 で規定されている HMAC truncation をサポートしています。RFC2104 ではハッシュ値の半分あるいは 80 bit 以上使用することを推奨しています。しかしながら、XMLDsig ではハッシュ値の出力長に対する制限が設けられていません。HMAC truncation が攻撃者によって操作された場合、結果として認証回避が起きる可能性があります。

XMLDsig で定められている認証メカニズムを攻撃者によって回避される可能性があります。

W3C より XMLDsig の勧告が更新されました。詳しくは Errata for XML Signature 2nd Edidtion をご確認ください。

アップデートする
ベンダが本問題に対応するアップデートを提供している場合、それを適用してください。