OneUptime SSO : Injection d'identité multi-assertion via une vérification de signature découplée

Cette vulnérabilité permet à un attaquant de contourner l'authentification SAML SSO et d'accéder à OneUptime avec des privilèges arbitraires. L'attaquant peut ainsi modifier les configurations de monitoring, accéder aux données de surveillance, voire compromettre l'ensemble de l'infrastructure surveillée. Le risque est d'autant plus important que OneUptime est souvent utilisé pour surveiller des systèmes critiques. L'impact potentiel inclut la perte de visibilité sur l'état des systèmes, la manipulation des données de surveillance, et l'accès non autorisé à des informations sensibles. Bien que l'exploitation directe puisse nécessiter une certaine expertise, la simplicité du contournement rend cette vulnérabilité particulièrement préoccupante.

Organizations utilizing OneUptime for monitoring and observability, particularly those relying on SAML SSO for authentication, are at risk. Shared hosting environments where multiple customers share the same OneUptime instance are especially vulnerable, as a compromise of one customer's SAML configuration could potentially impact others.

• nodejs: Monitor OneUptime logs for unusual SAML authentication attempts or errors related to XML parsing.

grep -i 'xml parsing error' /var/log/oneuptime/app.log

• generic web: Examine OneUptime's access logs for requests containing unusually large or malformed SAML assertions.

curl -I <oneuptime_url>/saml/login | grep -i 'Content-Length'

• generic web: Check for unexpected XML structures in SAML responses. This requires deeper packet inspection and is best suited for security monitoring tools.

1. 2026-04-02Disclosure

   disclosure

1. Réservé2026-03-30
2. Publiée2026-04-02
3. EPSS mis à jour2026-04-10

La mitigation principale consiste à mettre à jour OneUptime vers la version 10.0.42 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à désactiver temporairement l'authentification SAML SSO et à utiliser une méthode d'authentification alternative, comme l'authentification locale. Il est également recommandé de surveiller attentivement les logs d'authentification pour détecter toute activité suspecte. En cas de suspicion d'exploitation, il est conseillé de restreindre l'accès à OneUptime et de lancer une enquête approfondie. Après la mise à jour, vérifiez l'intégrité de l'installation et testez l'authentification SAML SSO pour confirmer la correction.