OpenAM のセキュリティ脆弱性について

OpenAM に複数のセキュリティ脆弱性が発見されました。

• GHSA-hvfc-4v4r-8p9w
• GHSA-g5vw-v384-gw9v
• GHSA-3j2f-qhrc-rjfj
• GHSA-jv8f-m88g-h6mm
• GHSA-mgwg-24cx-c8w3
• GHSA-545c-rm35-2jj2
• GHSA-6gg2-2v5m-454x
• GHSA-x7wr-5gxg-v833
• GHSA-h93p-35jm-rj83
• GHSA-rw43-r238-4c7j
• GHSA-v6hq-3cfh-5gr6
• GHSA-j56q-q3r3-hg7f
• GHSA-7q42-6xr7-9rmw
• GHSA-rmw3-j353-w9f7

なお、今回の脆弱性は、現時点では CVE 番号が採番されていないため、 GHSA（GitHub Security Advisory）番号にてご案内しております。 CVE 番号は、今後別途採番される可能性がございます。

OpenAM 14 向けに修正パッケージを提供いたします。 ご利用のお客様はアップデート版をご適用ください。

なお、以下のバージョンにつきましては、サポート対象 OS のメンテナンス期間が終了しているため、修正パッケージの提供はございません。

• OpenAM 9 / OpenAM 11 / OpenAM 13
• OpenAM 14（サポート終了 OS をご利用の場合）

該当するバージョンをご利用中のお客様は、OS のアップデートおよび製品のメジャーバージョンアップをご検討いただけますようお願いいたします。

対象

• OpenAM 14.x
  • osstech-openam14-14.5.0-166 以前のバージョン
• OpenAM 13.0.0
  • 全てのバージョン
• OpenAM 11.0.0
  • 全てのバージョン
• OpenAM 9.5.x
  • 全てのバージョン

脆弱性の概要

固定パスワードのデフォルトユーザーが存在する脆弱性（GHSA-hvfc-4v4r-8p9w）

• 対象: 全てのバージョン

初期設定直後の OpenAM には、固定パスワードのデフォルトユーザーが存在します。 この脆弱性は、攻撃者に認証セッションを取得される恐れがあります。

なお、この脆弱性は demo / anonymous ユーザーが存在している環境で影響があります。

CRL の取得における複数の脆弱性（GHSA-g5vw-v384-gw9v）

• 対象: 全てのバージョン

OpenAM には、CRL の取得処理において取得先や応答の検証が不足しているため、複数の脆弱性が存在します。 これらの脆弱性は、サービス運用妨害（DoS）や内部ネットワークのスキャン等に悪用される恐れがあります。

なお、これらの脆弱性は証明書認証を利用しており、「CRL に対して証明書を照合」を有効にしている環境で影響があります。

SAML SP におけるなりすましの脆弱性（GHSA-3j2f-qhrc-rjfj）

• 対象: 全てのバージョン

OpenAM の SAML SP には、未署名のアサーションを受け入れる脆弱性が存在します。 この脆弱性は、なりすましに悪用される恐れがあります。

なお、この脆弱性は以下の条件をすべて満たしている場合に影響があります。

• OpenAM を SAML SP として構成している
• 暗号化の証明書エイリアスを設定している
• ECP のエンドポイント（/openam/Consumer/ECP/*）を外部に公開している

旧ユーザーセルフサービスにおける管理者ユーザー作成の脆弱性（GHSA-jv8f-m88g-h6mm）

• 対象: 14.x / 13.0.0

OpenAM の旧ユーザーセルフサービスのユーザー登録機能には、属性の検証に不備があり、管理者ユーザーを作成できる脆弱性が存在します。

なお、この脆弱性は Legacy Self-Service REST Endpoint を有効にしている場合に影響があります。

WS-Federation におけるオープンリダイレクトの脆弱性（GHSA-mgwg-24cx-c8w3）

• 対象: 全てのバージョン

OpenAM の WS-Federation のエンドポイントには、オープンリダイレクトの脆弱性が存在します。 この脆弱性は、フィッシング等に悪用される恐れがあります。

なお、この脆弱性は以下のエンドポイントを外部に公開している場合に影響があります。

• /openam/wsfederation/jsp/*
• /openam/RealmSelection/*

OAuth2 プロバイダーにおけるクロスサイトリクエストフォージェリの脆弱性（GHSA-545c-rm35-2jj2）

• 対象: 14.x / 13.0.0 / 11.0.0

OpenAM の OAuth2 プロバイダー機能に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。 この脆弱性により、攻撃者がユーザーの意図しない同意操作を実行させる恐れがあります。

なお、この脆弱性は OpenAM を OAuth2 プロバイダーとして構成している場合に影響があります。

JAX-RPC における任意のクラスをロードする脆弱性（GHSA-6gg2-2v5m-454x）

• 対象: 全てのバージョン

OpenAM の JAX-RPC エンドポイントには、任意のクラスをロードする脆弱性が存在します。 この脆弱性は、サービス運用妨害（DoS）やリモートコード実行等に悪用される恐れがあります。

なお、この脆弱性は OpenAM サーバー間の通信が中間者攻撃等で改ざんされる可能性がある環境で影響があります。

デシリアライズ処理によるサービス運用妨害（DoS）の脆弱性（GHSA-x7wr-5gxg-v833）

• 対象: 全てのバージョン

OpenAM が実施しているデシリアライズ処理には検証が不足しており、改ざんされたリクエストを送信することで、サービス運用妨害（DoS）を引き起こされる恐れがあります。

OAuth2 プロバイダーのデバイスフローにおける PKCE が適用されない脆弱性（GHSA-h93p-35jm-rj83）

• 対象: 14.x / 13.0.0

OpenAM の OAuth2 プロバイダー機能は、OAuth2 のセキュリティ拡張仕様である PKCE に対応していますが、デバイスフローは PKCE の対象として実装されていませんでした。 この脆弱性により、攻撃者がユーザーのデバイスコードを横取りした場合に、アクセストークンを奪取される恐れがあります。

なお、この脆弱性は OpenAM を OAuth2 プロバイダーとして構成し、デバイスフローを利用している場合に影響があります。

SAML 1.x におけるオープンリダイレクトの脆弱性（GHSA-rw43-r238-4c7j）

• 対象: 全てのバージョン

OpenAM の SAML 1.x アイデンティティプロバイダー機能には、オープンリダイレクトの脆弱性が存在します。 この脆弱性は、フィッシング等に悪用される恐れがあります。

なお、この脆弱性は OpenAM を SAML 1.x アイデンティティプロバイダーとして構成している場合に影響があります。

OAuth2 プロバイダーにおけるクロスサイトスクリプティングの脆弱性（GHSA-v6hq-3cfh-5gr6）

• 対象: 14.x / 13.0.0

OpenAM の OAuth2 プロバイダー機能に、クロスサイトスクリプティング（XSS）の脆弱性が存在します。 この脆弱性は、セッションハイジャッキング攻撃に悪用される恐れがあります。

なお、この脆弱性は OpenAM を OAuth2 プロバイダーとして構成している場合に影響があります。

SAML 1.x における署名検証不備の脆弱性（GHSA-j56q-q3r3-hg7f）

• 対象: 全てのバージョン

OpenAM の SAML 1.x プロバイダー機能には、署名検証不備の脆弱性が存在します。 この脆弱性は、なりすましに悪用される恐れがあります。

なお、この脆弱性は OpenAM を SAML 1.x プロバイダーとして構成している場合に影響があります。

UMA プロバイダーにおけるサーバーサイドリクエストフォージェリの脆弱性（GHSA-7q42-6xr7-9rmw）

• 対象: 14.x / 13.0.0

OpenAM の UMA プロバイダー機能に、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。 この脆弱性は、内部ネットワークのスキャン等に悪用される恐れがあります。

なお、この脆弱性は OpenAM を UMA プロバイダーとして構成している場合に影響があります。

メタデータインポートにおけるサーバーサイドリクエストフォージェリの脆弱性（GHSA-rmw3-j353-w9f7）

• 対象: 全てのバージョン

OpenAM のメタデータインポート機能に、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。 この脆弱性は、攻撃者が管理者のセッションを奪取した場合に、内部ネットワークのスキャン等に悪用される恐れがあります。

恒久対策

アップデート版の適用をお願いします。

アップデートパッケージの入手方法

お客様がご利用中の OpenAM の環境について、下記の動作 OS、ご利用中のOpenAMのバージョンの情報、およびカスタマイズの有無などをご確認の上、弊社サポート窓口まで、サポートID、会社名、ご担当者名を添えてご連絡ください。

※下記に記されていない環境については、サポート窓口までお問い合わせください。

OS について

• Red Hat Enterprise Linux 10
• Red Hat Enterprise Linux 9
• Red Hat Enterprise Linux 8
• Amazon Linux 2023

OpenAM のバージョンについて

rpm パッケージを導入されている場合は下記のコマンドでご確認ください。

# rpm -qa | grep osstech

カスタマイズの有無などについて

下記の条件に当てはまる場合は、標準のアップデート方法が適用できません。弊社へご連絡の際に下記の条件に当てはまる旨をお知らせください。弊社より個別のアップデート方法をお知らせします。

• カスタマイズモジュールを導入している
  • 画面のカスタマイズをされている場合
  • 認証モジュールのカスタマイズをされている場合
• OpenAM の配備方法が弊社標準とは異なる
  • OpenAM 13.0.0 および 14.0.0 の標準配備先:
    • /opt/osstech/share/tomcat/webapps/openam

リリースノート

アップデート版の修正内容をリリースノートに記載しております。

• OpenAM 14 リリースノート