CVE-2026-46423: Bypass de Validação de Assinatura SAML no Rocket.Chat com Certificado do IdP Vazio
O provedor de serviço SAML do Rocket.Chat ignora a validação de assinatura tanto da SAML Response quanto da Assertion quando o campo de certificado do IdP está vazio, que é o estado padrão. O registro atribui CVSS 4.0 9.3 (crítico) e CWE-347, e informa que a falha está corrigida na 8.5.0 e em outros ramos. O registro não mostra inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-46423 é um bypass de autenticação de criticidade alta no provedor de serviço SAML do Rocket.Chat. Segundo o registro, as verificações de assinatura da SAML Response e da Assertion são ignoradas quando o campo de certificado do IdP está vazio, e esse campo vem vazio por padrão.
Impacto
- Um agente remoto pode conseguir apresentar asserções SAML não assinadas ou fornecidas pelo atacante a um endpoint de login SAML acessível publicamente.
- O registro atribui pontuação CVSS 4.0 de 9.3, com impacto alto em confidencialidade e integridade, impacto baixo em disponibilidade e sem necessidade de privilégios ou interação do usuário.
- Uma exploração bem-sucedida contornaria a autenticação, o que poderia permitir acesso não autorizado a contas do workspace.
Produtos e versões afetados
- Produto: Rocket.Chat, funcionalidade de provedor de serviço SAML.
- A descrição indica que a falha se aplica às versões anteriores a 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.
- A lista estruturada de afetados no registro está vazia, portanto os intervalos exatos por linha de versão são desconhecidos além deste texto.
Status de exploração
- O registro mostra que a falha não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- Dados de EPSS e SSVC não estão presentes no registro.
Remediação e mitigação
- Atualize para a versão corrigida correspondente à sua linha: 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 ou 7.10.11.
- Até concluir a atualização, desative o recurso de login SAML caso ele não seja necessário.
- Se o SAML for necessário, configure o certificado do IdP e confirme que apenas a configuração do provedor de identidade pretendida é aceita.
- Consulte o aviso original: GitHub advisory GHSA-rgg7-qvp9-wvx7.
Orientação de detecção
- Revise os logs de login SAML em busca de acessos bem-sucedidos de contas inesperadas ou de fontes de identidade não reconhecidas, especialmente em instâncias com SAML habilitado.
- Audite a configuração SAML para verificar se o campo de certificado está vazio.
- Verifique eventos recentes de criação de administradores e novos usuários em busca de anomalias.
Limitações das informações disponíveis
- O registro não contém detalhes de exploração, dados de prova de conceito nem indicadores de comprometimento.
- O status da fonte no registro é Deferred.
- Não há mapeamento estruturado versão a versão.
- O registro não informa se as correções foram retroportadas para versões além das listadas.
Perguntas frequentes
Por que esta vulnerabilidade é perigosa em configurações padrão?
Segundo o registro, o campo de certificado vem vazio por padrão e o recurso SAML verifica apenas a opção de habilitação, então habilitar o SAML sem adicionar um certificado deixa o endpoint de login sem validação de assinatura.
O que os administradores devem fazer primeiro?
Atualize para a versão corrigida da sua linha (8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 ou 7.10.11). Se o SAML não for necessário, desative-o até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.