OpenAM のセキュリティ脆弱性について [am2023-3-1]

OSSTech OpenAM のアップデート版の提供を開始します。アップデート版ではセキュリティ脆弱性が修正されておりますので適用をお願いします。

2023-04-13

サポートニュース

OpenAM

以下の脆弱性に対応しています。

OpenAM から発行された OAuth2 のユーザーコードはエントロピーの不足により強度が十分ではありません。この脆弱性はブルートフォース攻撃に利用されるおそれがあり、攻撃の結果ユーザーが攻撃者のアカウントに紐づけられたアクセストークンを受け取ってしまう可能性があります。

この脆弱性は OpenAM を OAuth2 サーバーとして利用し、かつデバイスフローを利用している場合に影響があります。

OpenAM の特定のエンドポイントにはサーバーリソースを消費する脆弱性があります。この脆弱性はサービス運用妨害（DoS）攻撃に利用されるおそれがあります。

この脆弱性は以下の URL に一般ユーザーがアクセス可能な場合に影響があります。 (構成によりますが、「コンテキストパス」は通常「openam」です)

OpenAM の特定のエンドポイントにはアクセス制御の不備の脆弱性が存在します。この脆弱性により OpenAM の設定情報が漏えいするおそれがあります。

この脆弱性は以下の URL に一般ユーザーがアクセス可能な場合に影響があります。 (構成によりますが、「コンテキストパス」は通常「openam」です)

Apache Software Foundation が提供する Apache Commons FileUpload ライブラリにおける脆弱性です。マルチパートリクエストの処理に問題があり、サービス運用妨害（DoS）攻撃を受ける可能性があります。

アップデート版の適用をお願いします。

お客様がご利用中の OpenAM の環境について、下記の動作 OS、ご利用中のOpenAMのバージョンの情報、およびカスタマイズの有無などをご確認の上、弊社サポート窓口まで、サポートID、会社名、ご担当者名を添えてご連絡ください。

※下記に記されていない環境については、サポート窓口までお問い合わせください。

rpm パッケージを導入されている場合は下記のコマンドでご確認ください。

# rpm -qa | grep osstech

下記の条件に当てはまる場合は、標準のアップデート方法が適用できません。弊社へご連絡の際に下記の条件に当てはまる旨をお知らせください。弊社より個別のアップデート方法をお知らせします。

アップデート版の修正内容をリリースノートに記載しております。