---
title: "Tracecat の Docker Compose 構成で、SAML の署名検証が無効になり、認証なしで既存ユーザー（superadmin を含む）になりすまされる恐れ（CVE-2026-58490・0.37.0〜1.0.0-beta.49 より前）"
url: https://n-t-p.io/worldsecurity/articles/tracecat-docker-compose-saml-signature-cve-2026-58490
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-58490
---

# Tracecat の Docker Compose 構成で、SAML の署名検証が無効になり、認証なしで既存ユーザー（superadmin を含む）になりすまされる恐れ（CVE-2026-58490・0.37.0〜1.0.0-beta.49 より前）

> **TL;DR:** Tracecat 0.37.0 以上 1.0.0-beta.49 より前の Docker Compose 構成で SAML を有効にすると、署名の要求が無効になり、認証なしの攻撃者が署名なしの偽応答で既存ユーザー（superadmin を含む）のセッションを得られる恐れ（CVE-2026-58490・CVSS v3.1 9.8）。1.0.0-beta.49 で修正。

**要点**
- NVD は 2026-11-06、Tracecat 0.37.0 以上 1.0.0-beta.49 より前の CVE-2026-58490 を登録。Docker Compose で SAML を有効にすると SAML_SIGNED_ASSERTIONS と SAML_SIGNED_RESPONSES が空の値になり、署名の要求が両方とも無効になる（CWE-347）。
- 認証なしの攻撃者が、既存ユーザーのメールアドレスを使った署名なしの偽応答を assertion consumer エンドポイントに送ると、そのユーザーのセッションを得られる恐れ。superadmin を狙われると乗っ取りに至る。既定の Fargate・Helm 構成は対象外とされる。
- CVSS v3.1 は 9.8（GitHub の登録、NVD 上は Secondary）。認証不要で 9.0 以上のため severity 案は critical。EPSS は未算出、CISA KEV に掲載は確認できず。
- 修正は 1.0.0-beta.49（署名済みの assertion と応答を必須にした）。更新を検討。回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。

セキュリティ自動化基盤 **Tracecat** で、Docker Compose で SAML を有効にした構成のとき、**署名の検証が無効になる**脆弱性（**CVE-2026-58490**）が登録されました。CVSS v3.1 は **9.8**（CRITICAL）。対象は **0.37.0 以上 1.0.0-beta.49 より前**で、**1.0.0-beta.49 で修正**されたと記載されています。

## 内容
NVD に登録された CVE の記述（2026-11-06 公開、GitHub のセキュリティ勧告が出典）では、次のとおりです。

- Docker Compose 構成で SAML を有効にすると、設定値 `SAML_SIGNED_ASSERTIONS` と `SAML_SIGNED_RESPONSES` が**空の値**として展開され、アプリ本来の安全な既定値を上書きして、**署名の要求が両方とも無効**になります。
- SAML の assertion consumer エンドポイントに届く**認証なしの攻撃者**が、既存ユーザーのメールアドレスを使った**署名のない偽の応答**を送ると、そのユーザーのセッションを得られる恐れがあります。
- 既存の **superadmin** を狙われると、superadmin アカウントの乗っ取りに至る恐れがあります。
- SAML でのユーザー作成が無効なら、この方法でユーザーは新規作成されません。
- **既定の Fargate 構成・Helm 構成は影響を受けない**とされています。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（GitHub の登録・NVD 上は Secondary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` |
| CWE | CWE-347（暗号の署名の不適切な検証） |
| NVD 登録 | 2026-11-06（状態は「Received」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載は確認できず（11/7 取得） |

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。ただし、成立するのは Docker Compose 構成で SAML を有効にしている場合に限られます。

## 影響を受ける版と対処
- 影響: **Tracecat 0.37.0 以上 1.0.0-beta.49 より前**の、Docker Compose で SAML を有効にした導入。
- 対処: **1.0.0-beta.49** へ更新します。この版で、安全でない設定の受け渡しが取り除かれ、署名済みの assertion と応答が必須になったと記載されています。
- 回避策・緩和策の記載は、確認できた範囲では見つかっていません。

## 利用者が考えられること
1. Docker Compose で Tracecat を動かし、SAML を有効にしているかを確認します。
2. 該当する場合は、1.0.0-beta.49 以降へ更新します。
3. 更新まで、SAML の assertion consumer エンドポイントを信頼できるネットワークに限ることを検討します（効果は未確認）。
4. 身に覚えのない SAML ログインや、superadmin のセッションがないか、ログを確認します。

## 未確認の点
- 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
- 回避策・緩和策の有無（更新までの暫定対処の効果）。
- 利用規模、Docker Compose 以外の構成への影響（記述上は Fargate・Helm の既定は対象外）。
- NVD 自身の評価。


## 出典
- [NVD CVE-2026-58490](https://nvd.nist.gov/vuln/detail/CVE-2026-58490) — NIST NVD
- [GitHub Security Advisory GHSA-6g53-h6fh-c3pj](https://github.com/TracecatHQ/tracecat/security/advisories/GHSA-6g53-h6fh-c3pj) — TracecatHQ
- [Tracecat 1.0.0-beta.49 リリース](https://github.com/TracecatHQ/tracecat/releases/tag/1.0.0-beta.49) — TracecatHQ
- [FIRST EPSS（CVE-2026-58490・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-58490) — FIRST
- [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/tracecat-docker-compose-saml-signature-cve-2026-58490