Protocole SAML compromettant : la cybersécurité mondiale mise à mal

Les fondations de la sécurité numérique mondiale ont été ébranlées suite aux révélations présentées lors du Black Hat Europe 2025. Des chercheurs ont mis en lumière des failles critiques dans le protocole SAML, pierre angulaire de l’authentification unique utilisée par d’innombrables organisations à travers le monde, soulevant des questions importantes sur la fiabilité des systèmes de connexion sécurisée que nous utilisons quotidiennement.

Des vulnérabilités majeures exposées dans le protocole SAML

C’est lors du prestigieux événement Black Hat Europe en décembre dernier que la communauté cybersécurité a été alertée d’un risque significatif.

Zak Fedotkin, expert chez PortSwigger, a dévoilé plusieurs techniques permettant de contourner complètement l’authentification SAML, un protocole fondamental pour la sécurité numérique depuis plus de deux décennies.

Le Security Assertion Markup Language (SAML) constitue depuis 20 ans un standard incontournable pour la mise en œuvre de l’authentification unique (SSO) dans les entreprises.

Des mécanismes d’exploitation sophistiqués

Les vulnérabilités découvertes reposent sur des erreurs subtiles dans le traitement du format XML, permettant aux attaquants de présenter des documents apparemment valides tout en contournant les vérifications de sécurité critiques.

« Plusieurs failles de sécurité ouvrent la voie au développement de la corruption des attributs, de la confusion des espaces de nommage et d’une nouvelle classe d’attaques par canonisation, entre autres », a expliqué Zakhar Fedotkin.

Ces techniques d’exploitation affectent particulièrement les implémentations SAML dans les environnements Ruby et PHP, laissant de nombreuses applications vulnérables à une compromission totale.

Preuves de concept inquiétantes

Pour démontrer la gravité de ces failles, l’équipe de PortSwigger a réalisé une démonstration concrète contre GitLab Enterprise Edition 17.8.4, prouvant la faisabilité de ces attaques dans un contexte réel.

En exploitant les incohérences au niveau des analyseurs XML, les chercheurs ont développé des techniques d’attaque à la fois fiables et difficiles à détecter.

Un impact réel sur les plateformes SaaS

L’équipe a poussé l’expérimentation plus loin en combinant leur exploit Ruby-SAML avec des recherches antérieures. Ils ont ainsi réussi à:

– Contourner les contrôles d’accès aux emails

– Fabriquer une réponse SAML falsifiée

– Créer un compte non autorisé

– S’authentifier sur une plateforme SaaS (dont le nom n’a pas été révélé)

Pour faciliter l’identification de ces vulnérabilités, Fedotkin a publié une boîte à outils open source permettant aux équipes de sécurité de tester leurs propres implémentations SAML.

Mesures correctives et limitations

Face à la gravité de la situation, PortSwigger a agi de manière responsable en informant dès avril le mainteneur de Ruby-SAML 1.12.4 des vulnérabilités découvertes.

Les failles identifiées, répertoriées sous les références CVE-2025-66568 et CVE-2025-66567, ont été corrigées début décembre par des correctifs dédiés.

Les organisations utilisant SAML doivent impérativement s’assurer que leurs bibliothèques de sécurité XML et SAML sont à jour avec les derniers correctifs disponibles.

Une solution à court terme insuffisante

Si les correctifs apportent une protection immédiate, les experts soulignent qu’ils ne constituent pas une solution définitive sans une refonte profonde des systèmes.

« OAuth offre une technologie plus récente pour proposer une authentification unique (SSO) mieux maintenue et présentant moins de failles de sécurité inhérentes que SAML, mais le simple fait de changer n’est pas une solution pratique pour la plupart des entreprises en raison de la base énorme et établie de longue date de fournisseurs de services qui s’appuient sur SAML », a fait remarquer M. Fedotkin.

Vers une restructuration nécessaire

Pour résoudre définitivement ces problèmes, les experts préconisent une restructuration majeure des bibliothèques SAML existantes.

« De tels changements peuvent entraîner des problèmes de compatibilité ou des régressions, mais ils sont essentiels pour garantir la robustesse de l’analyse XML, de la validation des signatures et de la logique de canonisation », a conclu M. Fedotkin.

L’avertissement final du chercheur est sans équivoque : « Sans cette refonte de fond, l’authentification SAML restera vulnérable aux mêmes types d’attaques qui persistent depuis près de deux décennies. »