CERT/CC警告：Logto在SSO和MFA处理中存在六个漏洞

sec随谈
sec随谈

sec随谈

2026年7月24日 11:27
北京

在小说阅读器读本章

去阅读

摘要

CERT/CC于2026年7月23日发布了漏洞公告VU#492466，披露了身份认证平台Logto中存在的六个漏洞。这些Logto漏洞允许攻击者通过未验证的邮箱关联劫持账户、绕过本地配置的多因素认证（MFA），以及重放SAML断言。目前尚无补丁发布，原因是CERT/CC未能联系到该厂商。

为何重要

Logto由Silverhand Inc.开发，为SaaS和AI应用提供身份认证服务，支持多租户登录、基于角色的访问控制（RBAC）、OIDC、OAuth 2.1以及SAML。当身份认证层判断错了用户身份时，下游的每一个应用都会继承这一错误。

CERT/CC在公告中直言协调沟通方面遇到的问题：\"未能联系到Silverhand Inc.就上述漏洞进行协调处理。\"目前这六个CVE的厂商响应状态均显示为\"未知\"，也尚未出现任何厂商声明。

攻击原理

这六个漏洞分别针对身份认证流程中的不同环节。

账户劫持与MFA绕过

CVE-2026-15611涉及基于未验证邮箱的账户关联问题。Logto仅凭邮箱地址就将一次新的SSO登录与本地用户账户进行匹配，而从不要求身份提供方（IdP）确认email\_verified这一字段。因此，攻击者只需在某个校验宽松的上游IdP处注册受害者的邮箱地址，便可以在首次登录时冒领对方已存在的账户。

CVE-2026-15616则会在SSO登录过程中跳过本地配置的MFA验证——只要联合身份认证（federated identity）本身通过了验证，该检查便会被自动满足。

令牌与断言层面的缺陷

CVE-2026-15612涉及OIDC nonce验证被跳过的问题——当id\_token中完全省略了该字段时，Logto也不会对此进行校验。已发布的CVE记录将这一问题的后果概括为令牌重放攻击以及会话绑定机制被削弱。

CVE-2026-15615与SAML断言的时间校验有关。省略Conditions元素即可绕过NotBefore和NotOnOrAfter这两个时间窗口限制，而Logto并未对此设置任何独立的校验机制。CVE-2026-15614则允许一次由IdP发起的SAML会话被用来同时授权两次独立的登录。最后，CVE-2026-15617涉及未经规范化处理的身份比较，导致会话被绑定到并非预期的本地账户上。

受影响版本

CERT/CC并未列出具体的受影响或已修复版本范围，公告中仅援引了Logto GitHub代码仓库某一具体commit中的相关源文件。在Silverhand发布官方指导意见之前，管理员应将当前所有部署环境视为受影响状态处理。目前尚无关于安装量或用户规模的公开估算数据。

利用现状

CERT/CC与相关CVE记录均未确认存在在野利用情况，也未见有公开的概念验证（PoC）代码被报告。这些问题由多伦多大学的一支研究团队报告发现，CERT/CC于2026年5月26日通知了厂商。

应对措施

在官方修复方案发布之前，CERT/CC针对上述Logto漏洞给出了以下几项防御性建议：