덱스(dex)를 만든 오블리크 CTO 에릭 창이 앤트로픽 사이버 검증 프로그램 승인을 받아 익스플로잇까지 쓸 수 있게 푼 오푸스로 클로드 코드 에이전트를 한 달 굴려, SAML 라이브러리에서 인증 우회 4건과 서명 우회 12곳을 찾았어요. 가장 심한 authentik 건(CVE-2026-57580)은 NameID에 XML 주석을 끼워 넣어 남의 계정으로 로그인하는 방식인데, 권고문에는 같은 결함을 각자 찾아낸 신고자 8명이 나란히 올라 있어요. 정작 저자는 프로토콜 자체를 구조적으로 깨지는 못했고 알려진 취약점 목록을 주면 그 복제본만 찾아다녀 위협 모델만 주는 편이 나았다고 적었는데, 연구를 멈춘 이유도 버그가 떨어져서가 아니라 AI가 쏟아 낸 신고에 지친 쪽에서 받아 줄 여력이 없어서였대요.
용어 풀이
- SAML
- 회사 계정 하나로 여러 서비스에 로그인하게 해 주는 XML 기반 인증 규격
- NameID
- SAML 응답에서 '이 사람이 누구인지'를 담는 식별자 항목
- AuthnRequest
- 서비스가 로그인 서버에 인증을 요청할 때 보내는 SAML 메시지. LogoutRequest는 로그아웃을 알리는 메시지
- CVSS
- 취약점 심각도를 0~10 점수로 매기는 표준 척도
운영자 인사이트
SAML 붙인 팀이 지금 볼 곳은 두 군데예요. 로그인 서버가 보내온 응답의 NameID를 이메일·사용자명 문자열로 계정에 잇고 있으면 그 경로부터 막고(authentik은 2026.5.5·2026.2.6으로 올리고 매칭은 기본값인 고유 식별자로), 서명 검증이 파서가 나중에 고른 요소가 아니라 '서명된 그 요소'를 쓰는지 확인하세요. 서명 우회 12곳은 로그인 응답이 아니라 AuthnRequest·LogoutRequest 쪽에서 나왔어요.
여러 관점으로 보기
- 고친 쪽이 알려 준 점검 항목 기본 매칭 모드는 안 걸리고 USERNAME_LINK·EMAIL_LINK만 걸려요 — 권고문 감사 인사에 신고자 8명이 나란히 올라 있어요. GitHub Security Advisory
- 공식 등록된 심각도 NVD는 이 건을 CVSS 9.4 심각으로 매겼어요 — 깃허브 권고문에 적힌 8.7보다 높아요. NVD
- 쓴 방법을 통째로 공개 라이브러리의 이상 동작을 먼저 모으고 그걸 조합해 실제 공격으로 확인하는 2단계 묶음이 아파치 2.0으로 열려 있어요 — 별은 아직 2개예요. GitHub