SAML Attacks (XML Signature Wrapping, etc.)

SAML (Security Assertion Markup Language) est un protocole d'authentification basé sur XML, très utilisé en SSO d'entreprise. Sa complexité (XML, XML Signature, XML Encryption) génère des vulnérabilités spécifiques :

(1) XML Signature Wrapping (XSW) : l'attaquant capture une assertion SAML signée légitime, l'enveloppe dans un nouveau document avec une assertion malveillante non signée, et exploite des écarts entre ce que la signature couvre et ce que le code applicatif lit. De nombreuses bibliothèques SAML (OpenSAML, python-saml, ruby-saml) ont eu des CVE XSW.

(2) XXE in SAML assertion : les parseurs XML utilisés pour SAML sont souvent vulnérables XXE, permettant lecture de fichiers ou SSRF lors du traitement d'une assertion malveillante.

(3) Golden SAML : technique de persistence post-exploitation où un attaquant ayant compromis l'IdP (vol de la clé de signature SAML d'ADFS) peut forger des assertions SAML valides pour n'importe quel utilisateur, accédant à tous les SP fédérés (SolarWinds 2020).

(4) Signature stripping : suppression de la signature et exploitation de validateurs laxistes.

(5) Replay attacks si NotOnOrAfter pas vérifié.

Mitigations : utiliser des bibliothèques SAML à jour, valider strictement le canonical XML signé, désactiver XXE, vérifier audience/destination/NotOnOrAfter, surveiller l'IdP (HSM pour la clé de signature, monitoring d'usage anormal), migrer vers OIDC quand possible.