Обход аутентификации в Mendix SAML позволяет получить доступ к приложению без действующих учётных данных. Mendix SAML - модуль, который подключает приложения Mendix к внешней системе входа по протоколу SAML, стандарту обмена данными об аутентификации. Для атаки нужно воспроизвести ранее выданное SAML-подтверждение, то есть сообщение о выполненном входе, в сценарии, который инициирует поставщик идентификации. Уязвимость затрагивает ветки Mendix 9, 10 и 11.
CVE-2026-89209 и повтор SAML-подтверждения
Siemens ProductCERT - подразделение Siemens, которое выпускает уведомления по безопасности продуктов. В уведомлении SSA-137528 вендор относит к затронутым версии ниже V3.6.29 в ветке Mendix 9. Siemens также относит к затронутым версии ниже V4.2.4 в ветках Mendix 10 и 11. Вендор уже выпустил исправления.
Siemens не ограничивается проверкой: у уязвимости есть идентификатор CVE-2026-89209, а вендор указывает версию обновления для каждой ветки. CVE - общий идентификатор публично известных уязвимостей. Siemens оценивает уязвимость в 7.6 из 10 по CVSS (общая система оценки уязвимостей) v4.0. Вендор опубликовал уведомление 26 октября 2026 года, текущая версия документа - V1.0.
Siemens не перечисляет конкретные приложения Mendix, где администраторы используют модуль. Проблема затрагивает версии самого модуля. Mendix SAML применяется в приложениях Mendix, которые используют внешний поставщик идентификации для входа. Ветки Mendix 9, 10 и 11 - разные линии платформы Mendix, с которыми совместим модуль. Для каждой линии нужна своя исправленная версия модуля.
Модуль не защищает от повторного использования корректного SAML-ответа в сценарии входа, который инициирует поставщик идентификации (IdP). IdP - система, которая проверяет учётные данные пользователя и выпускает SAML-подтверждение. В таком сценарии вход начинает IdP, а приложение принимает готовое подтверждение. IdP подписывает SAML-подтверждение, поэтому приложение доверяет ему. SAML-подтверждение содержит данные пользователя и результат проверки.
Если подтверждение уже выдано, его можно отправить повторно и получить доступ к приложению. При этом приложение не отличает новое сообщение от уже использованного. Повторное воспроизведение не требует доступа к учётной записи пользователя. Атака идёт по сети, учётные данные не нужны. По вектору CVSS v3.1 требуется участие пользователя, а сложность атаки вендор оценивает как высокую.
Класс проблемы - обход аутентификации за счёт захвата и повторного воспроизведения, CWE-294. CWE-294 - номер в классификаторе слабостей программного обеспечения. Такой сценарий не требует подбора пароля. Однако атакующему нужен корректный SAML-ответ, выданный для сценария входа через IdP.
Siemens выпустил исправленные версии - V3.6.29 для Mendix 9 и V4.2.4 для Mendix 10 и 11. Обновление доступно в каталоге компонентов Mendix; ссылку на компонент вендор приводит в уведомлении. Siemens рекомендует перейти на последнюю версию модуля.
Если обновление пока невозможно, Siemens предлагает отключить единый вход, инициируемый поставщиком идентификации. Единый вход (SSO) позволяет пользователю один раз аутентифицироваться у IdP и открывать несколько приложений. При этом других специальных обходных мер в разделе об обходных мерах нет. Вендор также напоминает о защите сетевого доступа к устройствам и о рекомендациях из руководств по продукту.
Сведений об эксплуатации CVE-2026-89209 в реальных атаках в уведомлении нет. Публикация уведомления означает, что технические детали доступны, но не подтверждает использование уязвимости.
Обход аутентификации затрагивает контур входа в приложение. Администраторам нужно обновить Mendix SAML до исправленной версии; при невозможности обновления остаётся отключение входа, инициируемого IdP.
Ссылки
