OpenAM のセキュリティ脆弱性について [am2026-3-1]

OpenAM 14 向けに修正パッケージを提供いたします。ご利用のお客様はアップデート版を適用してください。

2026-07-23

サポートニュース

OpenAM

update

OpenAM に複数のセキュリティ脆弱性が発見されました。

OpenAM 14 向けに修正パッケージを提供いたします。ご利用のお客様はアップデート版をご適用ください。

なお、以下のバージョンにつきましては、サポート対象 OS のメンテナンス期間が終了しているため、修正パッケージの提供はございません。

該当するバージョンをご利用中のお客様は、OS のアップデートおよび製品のメジャーバージョンアップをご検討いただけますようお願いいたします。

内蔵ディレクトリサーバー（OpenDJ）の JMX コネクターに、信頼できないデータをデシリアライズする脆弱性が存在します。この脆弱性は、リモートコード実行等に悪用される恐れがあります。

なお、この脆弱性は JMX コネクターを有効（デフォルト）にしており、JMX ポート（デフォルト 1689）を外部に公開している場合に影響があります。

OpenAM の IDP ディスカバリーサービス用エンドポイントに、オープンリダイレクトの脆弱性が存在します。この脆弱性は、フィッシング等に悪用される恐れがあります。

なお、この脆弱性は以下のエンドポイントを外部に公開している場合に影響があります。

OpenAM の Groovy スクリプト機能に、サンドボックスを回避して OS コマンドを実行できる脆弱性が存在します。攻撃者が管理者のセッションを奪取した場合に、リモートコード実行が行われる恐れがあります。

アップデート版の適用をお願いします。

お客様がご利用中の OpenAM の環境について、下記の動作 OS、ご利用中のOpenAMのバージョンの情報、およびカスタマイズの有無などをご確認の上、弊社サポート窓口まで、サポートID、会社名、ご担当者名を添えてご連絡ください。

※下記に記されていない環境については、サポート窓口までお問い合わせください。

rpm パッケージを導入されている場合は下記のコマンドでご確認ください。

# rpm -qa | grep osstech

下記の条件に当てはまる場合は、標準のアップデート方法が適用できません。弊社へご連絡の際に下記の条件に当てはまる旨をお知らせください。弊社より個別のアップデート方法をお知らせします。

カスタマイズモジュールを導入している
- 画面のカスタマイズをされている場合
- 認証モジュールのカスタマイズをされている場合
OpenAM の配備方法が弊社標準とは異なる
- OpenAM 13.0.0 および 14.0.0 の標準配備先:
  - /opt/osstech/share/tomcat/webapps/openam

アップデート版の修正内容をリリースノートに記載しております。