Модуль Mendix SAML пропускает вход по копии ранее действительного ответа поставщика идентичности. Обход аутентификации работает в сценариях, где вход начинает сам поставщик идентичности, а не приложение. Siemens выпустила исправленные версии для нескольких совместимых редакций модуля. Сведений об эксплуатации в реальных атаках в переданных источниках нет.
CVE-2026-89209 и механизм повторного воспроизведения
При входе через SAML приложение получает от поставщика идентичности (IdP, система, которая подтверждает личность пользователя) подписанный ответ с утверждением о пользователе. В обычном сценарии приложение сначала отправляет запрос и затем сверяет ответ с этим запросом. Если вход инициирует сам поставщик идентичности, ответ приходит без предварительного запроса со стороны приложения. Модуль проверяет подпись и срок действия, однако не отслеживает, применялся ли конкретный ответ раньше. Как следствие, повторно отправленная копия действительного ответа снова открывает доступ к приложению.
Учётные данные атакующему не нужны. Ему требуется располагать действительным ответом поставщика идентичности, полученным ранее, например перехваченным в сети или добытым иным способом. Уязвимость отнесена к классу CWE-294, обход аутентификации через перехват и повтор.
Оценка CVSS 3.1 составляет 6.8 из 10, уровень Medium по классификации вендора. Атака идёт по сети, привилегии не требуются, но участие пользователя необходимо. Сложность реализации вендор оценивает как высокую. Конфиденциальность и целостность затронуты, доступность нет.
Подтверждённо уязвимы три редакции модуля, совместимые с разными ветками платформы Mendix. Проверка завершена, статус продуктов в уведомлении указан как затронутый, идентификатор ошибки вендора приведён.
Исправление и обходная мера
Ветки Mendix 10 и Mendix 11 получают исправление в версии V4.2.4. Для ветки Mendix 9 исправленная версия - V3.6.29. Вендор рекомендует перейти на эти версии или более поздние.
Пока обновление не установлено, Siemens предлагает отключить вход, инициируемый поставщиком идентичности (IdP-initiated SSO, единый вход). Эта настройка снимает вектор повторного воспроизведения, поскольку приложение перестаёт принимать ответы, не связанные с его собственным запросом. Других обходных мер вендор не приводит. Отключение затрагивает пользователей, которые привыкли начинать работу из панели поставщика идентичности, поэтому смену схемы входа стоит согласовать заранее.
Уведомление опубликовано Siemens ProductCERT под номером SSA-137528, ревизия 2 от 29 октября 2026 года. CISA переиздала его на своём сайте как есть, без редакторской и технической проверки. Первоначальная публикация датируется 26 октября 2026 года.
Что сделать администратору
Обновите модуль до V4.2.4 в ветках Mendix 10 и 11 либо до V3.6.29 в ветке Mendix 9. Если обновление откладывается, отключите IdP-initiated SSO и переведите приложения на вход, инициируемый со стороны приложения. Ограничьте сетевой доступ к приложениям Mendix: вендор отдельно указывает, что защита сетевого периметра остаётся общей мерой для его продуктов. CISA добавляет к этому размещение систем за межсетевым экраном и изоляцию от бизнес-сети, а для удалённого доступа советует применять VPN с актуальной версией.
Отслеживайте выход следующих ревизий уведомления: списки продуктов и версии исправления могут уточняться. Номер версии уведомления отражает версию документа, а не версию исправления.
Значимость уязвимости определяется условиями эксплуатации. Атакующему нужен действительный ответ поставщика идентичности и включённый вход по инициативе IdP, поэтому массовых атак без такой настройки ожидать не следует. Для приложений с включённым IdP-initiated SSO обход даёт полный доступ к приложению без учётных данных, и обновление закрывает эту возможность. Приоритет установки зависит от того, используется ли такая схема входа в конкретной инсталляции.
Ссылки
