Tracecat の Docker Compose 構成で、SAML の署名検証が無効になり、認証なしで既存ユーザー（superadmin を含む）になりすまされる恐れ（CVE-2026-58490・0.37.0〜1.0.0-beta.49 より前）

セキュリティ自動化基盤 Tracecat で、Docker Compose で SAML を有効にした構成のとき、署名の検証が無効になる脆弱性（CVE-2026-58490）が登録されました。CVSS v3.1 は 9.8（CRITICAL）。対象は 0.37.0 以上 1.0.0-beta.49 より前で、1.0.0-beta.49 で修正されたと記載されています。

内容

NVD に登録された CVE の記述（2026-11-06 公開、GitHub のセキュリティ勧告が出典）では、次のとおりです。

• Docker Compose 構成で SAML を有効にすると、設定値 SAML_SIGNED_ASSERTIONS と SAML_SIGNED_RESPONSES が空の値として展開され、アプリ本来の安全な既定値を上書きして、署名の要求が両方とも無効になります。
• SAML の assertion consumer エンドポイントに届く認証なしの攻撃者が、既存ユーザーのメールアドレスを使った署名のない偽の応答を送ると、そのユーザーのセッションを得られる恐れがあります。
• 既存の superadmin を狙われると、superadmin アカウントの乗っ取りに至る恐れがあります。
• SAML でのユーザー作成が無効なら、この方法でユーザーは新規作成されません。
• 既定の Fargate 構成・Helm 構成は影響を受けないとされています。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（GitHub の登録・NVD 上は Secondary）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-347（暗号の署名の不適切な検証）
NVD 登録	2026-11-06（状態は「Received」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載は確認できず（11/7 取得）

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。ただし、成立するのは Docker Compose 構成で SAML を有効にしている場合に限られます。

影響を受ける版と対処

• 影響: Tracecat 0.37.0 以上 1.0.0-beta.49 より前の、Docker Compose で SAML を有効にした導入。
• 対処: 1.0.0-beta.49 へ更新します。この版で、安全でない設定の受け渡しが取り除かれ、署名済みの assertion と応答が必須になったと記載されています。
• 回避策・緩和策の記載は、確認できた範囲では見つかっていません。

利用者が考えられること

1. Docker Compose で Tracecat を動かし、SAML を有効にしているかを確認します。
2. 該当する場合は、1.0.0-beta.49 以降へ更新します。
3. 更新まで、SAML の assertion consumer エンドポイントを信頼できるネットワークに限ることを検討します（効果は未確認）。
4. 身に覚えのない SAML ログインや、superadmin のセッションがないか、ログを確認します。

未確認の点

• 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
• 回避策・緩和策の有無（更新までの暫定対処の効果）。
• 利用規模、Docker Compose 以外の構成への影響（記述上は Fargate・Helm の既定は対象外）。
• NVD 自身の評価。