CVE-2026-49454: Biblioteca SAML Relyra aceita assinaturas forjadas (bypass de autenticação)

Visão geral

A CVE-2026-49454 afeta a Relyra, biblioteca de Service Provider SAML para aplicações Elixir e Phoenix. Segundo o advisory de segurança do GitHub, as versões 1.0.0 e 1.1.0 retornavam autenticação bem-sucedida sem de fato comprovar a assinatura XML das mensagens SAML recebidas. O valor da assinatura nunca era conferido com a chave pública do certificado do Identity Provider (IdP) configurado, o digest do elemento referenciado não era recalculado e a etapa de canonicalização no fluxo de verificação era apenas um passthrough sem uso. Na prática, a validação apenas confirmava que o documento tinha o formato esperado. A falha é classificada como CWE-287 (Autenticação Imprópria).

Impacto

Um atacante remoto e não autenticado poderia enviar uma resposta SAML com assinatura forjada e um NameID de sua escolha, e a biblioteca poderia aceitá-la como login válido. Para aplicações que usam a Relyra em single sign-on, isso representa bypass de autenticação e possível personificação de qualquer usuário, inclusive administradores. A CNA atribui nota 9.1 (Crítica) no CVSS 3.1, vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, com alto impacto em confidencialidade e integridade, sem exigir privilégios nem interação do usuário.

Produtos e versões afetados

Relyra 1.0.0 (afetada)
Relyra 1.1.0 (afetada)
Relyra 1.2.0 contém a correção

O registro não traz faixas de versões estruturadas; a lista acima vem da descrição do advisory.

Status de exploração

A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Não há pontuação EPSS no registro. Como a falha não exige condições especiais, a exploração seria simples para quem alcançar o endpoint consumidor de SAML, portanto o tratamento deve ser urgente.

Correção e mitigação

Atualize a Relyra para a versão 1.2.0 ou posterior em todas as aplicações que dependem dela e faça o redeploy.
Consulte o advisory de segurança e os commits de correção (2e45689, 8910200).
Se a atualização imediata não for possível, considere desativar temporariamente o login SAML ou adicionar uma camada extra de autenticação.
Após corrigir, invalide as sessões existentes criadas via SAML para encerrar sessões que possam ter sido obtidas com asserções forjadas.

Orientações de detecção

Compare os logs de autenticação da aplicação com os do IdP, buscando logins SAML cujo NameID não tenha evento correspondente no IdP no mesmo período.
Procure acessos inesperados a contas privilegiadas ou de origens incomuns durante o período em que versões vulneráveis estiveram em produção.
Faça inventário de dependências (por exemplo, arquivos de lock) para encontrar aplicações fixadas na Relyra 1.0.0 ou 1.1.0.

Limitações das informações disponíveis

O registro no NVD está com status Deferred e não contém dados estruturados de versões afetadas ou corrigidas; os detalhes de versão vêm da descrição da CNA. Não há dados de EPSS ou SSVC. O registro não informa o grau de adoção das versões vulneráveis nem se houve tentativas de exploração observadas.

Perguntas frequentes

Quais versões da Relyra são afetadas pela CVE-2026-49454?

O advisory informa que as versões 1.0.0 e 1.1.0 são afetadas e que o problema foi corrigido na versão 1.2.0.

O que um atacante pode fazer com essa falha?

Um atacante não autenticado poderia enviar uma resposta SAML com assinatura forjada e um NameID escolhido, aceita pela biblioteca, possibilitando login como qualquer usuário.

A CVE-2026-49454 está sendo explorada ativamente?

Ela não consta no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

O que fazer além de atualizar?

Após atualizar para a 1.2.0, invalide as sessões existentes criadas via SAML e revise os logs de autenticação em busca de logins sem evento correspondente no IdP.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.