[upki-fed:100] 【注意喚起】Shibboleth SP関連の脆弱性について(2025/3/13付アドバイザリ)

[学認事務局]

SP運用担当者　各位
学認情報交換ML参加者　各位

国立情報学研究所　学認事務局です。
平素より学認の運営にご協力を賜り、ありがとうございます。

Shibboleth Projectから、Shibboleth SPが利用しているOpenSAMLライブラリの脆弱性に関するセキュリティアドバイザリが公開されています。[1][2]

本脆弱性のSeverityは Critical となっております。[3]

下記を参考に、影響をご確認いただき、該当する場合は速やかに対策を実施してください。


影響
====

本脆弱性の対象となるバージョンは次の通りです。

- OpenSAML V3.3.1より前バージョン

技術ガイド[4]に従って構築された標準的なSPは本脆弱性の影響を受ける可能性があります。


対策
====

OpenSAMLライブラリ(libsaml13)をV3.3.1にアップデートしてください。
※ 更新後shibdプロセスの再起動が必要です。

Shibboleth SPがV3.5.0未満の場合、対策されたOpenSAMLライブラリが利用できませんので、その場合は、Shibboleth SPのアップデートも行ってください。

アップデート後、以下のコマンドの出力でOpenSAMLパッケージがV3.3.1になっていることを確認できます。

$ sudo grep 'OpenSAML-C 3.3.1' /var/log/shibboleth/shibd.log
2025-03-14 16:14:46 INFO Shibboleth.Config : Library versions: (...略...), OpenSAML-C 3.3.1, (...略...)

学認に関する情報共有スペース(GakuNinShare)に有志によるSPv3アップデートに関する情報[5]がまとまっています。
特にShibboleth SPのアップデートをする場合、アップデート時の注意点がまとまっておりますので、そちらを確認してからアップデートしていただくことをおすすめします。

なお、当該ライブラリの修正を含むWindows版Shibboleth SP V3.5.0.1があわせてリリース[6]されています。

学認事務局ではWindows版の技術的なサポートはしておりません。各SPにおいて、ご確認の上適宜対応をお願いいたします。


参考情報
========

[1] https://shibboleth.net/community/advisories/secadv_20250313.txt
[2] https://shibboleth.net/pipermail/announce/2025-March/000337.html
[3] https://shibboleth.atlassian.net/wiki/spaces/SP3/pages/2067399654/SecurityAdvisories
[4] https://meatwiki.nii.ac.jp/confluence/display/GakuNinShibInstall/SP
[5] https://meatwiki.nii.ac.jp/confluence/x/QQWy
[6] https://shibboleth.net/pipermail/announce/2025-March/000336.html


===========================================================
国立情報学研究所　学術基盤課　認証基盤・クラウド推進チーム（認証担当）
お問い合わせフォーム：https://www.gakunin.jp/contact
===========================================================

--