CVE-2026-58490: Tracecat SAML bypass in Docker Compose

CVE-2026-58490 è una vulnerabilità critica in Tracecat, piattaforma open-source di automazione per team security e AI agents. In Docker Compose con SAML abilitato, le variabili SAML_SIGNED_ASSERTIONS e SAML_SIGNED_RESPONSES rimangono vuote anziché assumere valori sicuri di default. Questo disabilita la validazione della firma sulle asserzioni SAML. Un attaccante non autenticato che raggiunge l'endpoint SAML assertion consumer può inoltrare risposte SAML contraffatte per assumere la sessione di utenti validi, inclusi superadmin.

La severità è CVSS 9,8 (critical): non richiede autenticazione preliminare, l'impatto è massimo su riservatezza, integrità e disponibilità. La vulnerabilità affetta Tracecat dalla versione 0.37.0 fino a 1.0.0-beta.48. La versione 1.0.0-beta.49, pubblicata su NVD il 2026-11-06, elimina completamente il comportamento insicuro ripristinando il requisito obbligatorio di firme valide. Lo stato della correzione è verificato e disponibile. Segnali pubblici confermano l'attenzione della comunità di ricerca sulla vulnerabilità.

Per gli amministratori di Tracecat: aggiornare immediatamente a versione 1.0.0-beta.49 o successiva. Se Docker Compose con SAML è attualmente in uso, verificare nelle variabili di ambiente che SAML_SIGNED_ASSERTIONS e SAML_SIGNED_RESPONSES siano impostate a true. Se invece il deployment usa Fargate o Helm, il rischio è assente e non sono richieste azioni. Come mitigazione temporanea prima del patching, disabilitare completamente SAML nel deployment Docker Compose.

Tracecat è una piattaforma di automazione per security team e agenti AI. Quando SAML è abilitato, l'autenticazione federata diventa il meccanismo critico di controllo degli accessi al sistema. Un bypass della validazione delle firme trasforma completamente il profilo di sicurezza dei deployment Docker Compose interessati, esponendoli all'account takeover non autorizzato.