OpenAM のセキュリティに関する脆弱性の詳細 [AM20150408-1-1]

• OpenAM 9.5.5/11.0.0

OpenAMに下記のセキュリティ脆弱性が見つかりました。脆弱性に対処するためにパッケージのアップデートをお願いします。

対象：OpenAM の全てのバージョン
セキュリティ重要度： < Critical >
対象の OpenAM には本来認可されないユーザーが認可されてしまう脆弱性が存在します。
この脆弱性は OpenAM と併せてポリシーエージェントを利用している場合に影響があります。

対象：OpenAM の全てのバージョン
セキュリティ重要度： < Critical >
対象の OpenAM にはユーザーパスワード変更画面に CSRF の脆弱性が存在します。この脆弱性を利用することでユーザーのパスワードが攻撃者によって変更されるおそれがあります。
この脆弱性はユーザーパスワード変更画面を外部に公開している場合に影響があります。

/<deployment URI>/user/UMChangeUserPassword

対象：OpenAM の全てのバージョン
セキュリティ重要度： < High >
対象の OpenAM には任意の署名で SAML 1.x プロトコルを行える脆弱性が存在します。
この脆弱性は OpenAM を SAML 1.x の RP として構成している場合に影響があります。

対象：OpenAM の全てのバージョン
セキュリティ重要度： < High >
対象の OpenAM には WS-Federation を構成していないレルムのユーザーが RP にアクセスできる脆弱性が存在します。
この脆弱性は OpenAM を WS-Federation の IdP として構成している場合に影響があります。

対象：OpenAM の全てのバージョン
セキュリティ重要度： < High >
対象の OpenAM には初期設定エンドポイントにサーバーリソースを消費する DoS 脆弱性があります。
この脆弱性は、一般ユーザーがアクセス可能な OpenAM サーバーの URL を制限していない場合に影響があります。

/<deployment URI>/config/configurator

対象：OpenAM 11.0.0
セキュリティ重要度： < High >
対象の OpenAM には自己登録機能で発行したトークンを別のレルムで利用できる脆弱性があります。
この脆弱性は、自己登録機能を有効にしている場合に影響があります。

対象：OpenAM 11.0.0
セキュリティ重要度： < High >
対象の OpenAM には本来認可されないユーザーが認可されてしまう脆弱性が存在します。
この脆弱性はポリシー設定の URL の定義でポート番号にワイルドカードを利用している場合に影響があります。
URL の定義のうちスキーム・ホスト名・ポート番号にはワイルドカードを利用しないことを推奨します。

対象：OpenAM の全てのバージョン
セキュリティ重要度： < High >
OpenAM のいくつかのエンドポイントに XSS 脆弱性があります。この脆弱性はセッションハイジャック攻撃やフィッシング攻撃に利用されるおそれがあります。
この脆弱性は、一般ユーザーがアクセス可能な OpenAM サーバーの URL を制限していない場合に大きく影響があります。

/<deployment URI>/WSFederationServlet
/<deployment URI>/task/CreateRemoteIDP
/<deployment URI>/task/CreateRemoteSP
/<deployment URI>/federation/ImportEntity
/<deployment URI>/console/ajax/AjaxProxy.jsp
/<deployment URI>/oauth/registerconsumer.jsp

対象：OpenAM の全てのバージョン
セキュリティ重要度： < Medium >
対象の OpenAM には部分的なサーバー情報を取得できる脆弱性があります。
この脆弱性は、一般ユーザーがアクセス可能な OpenAM サーバーの URL を制限していない場合に影響があります。

/<deployment URI>/config/*

対象：OpenAM の全てのバージョン
セキュリティ重要度： < Medium >
対象の OpenAM には本来拒否されるべきリダイレクト先に転送する脆弱性があります。この脆弱性はフィッシング攻撃に利用されるおそれがあります。
この脆弱性は、有効な転送 URL ドメインのスキーム・ホスト名・ポート部分にワイルドカードを使用している場合に影響があります。
URL の定義のうちスキーム・ホスト名・ポート番号にはワイルドカードを利用しないことを推奨します。

対象：OpenAM 11.0.0
セキュリティ重要度： < Medium >
対象の OpenAM には複数のレルムに同じ名前のユーザーが存在する場合、OAuth 2.0 トークン管理エンドポイントから別レルムのユーザーのアクセストークンを取得できる脆弱性があります。
この脆弱性は、OpenAM を OAuth2.0 の 認可サーバーとして構成している場合に影響があります。

対象：OpenAM 11.0.0
セキュリティ重要度： < Low >
対象の OpenAM には自己登録機能を無効にした後も既に発行済みのトークンを利用できる脆弱性があります。
この脆弱性は、自己登録機能を有効にしている場合に影響があります。

アップデート版の修正内容をリリースノートに記載しております。対象のバージョンのリリースノートをご確認下さい。

• OpenAM 11 リリースノート
• OpenAM 9.5 リリースノート