注目★★★★★GitHub Advisory
OpenAM の OAuth 認証に重大な欠陥、他人になりすましトークン生成可能
30秒で把握
- 1OpenAM 16.0.6 以前の OAuth2 認証に欠陥、他クライアントになりすましトークン生成可能
- 2JWKS URI 公開キーを持つ登録済みクライアントなら任意クライアントを偽装、権限昇格リスク
- 316.1.1 で修正・本番環境は即更新推奨・動的登録有効環境は特に優先対応が必要
要約
OpenAM Community Edition 16.0.6 以前の OAuth2 private_key_jwt 認証に認証不備 (CWE-287) が存在する。JWKS URI 経由で公開されているキーを持つクライアントなら、任意の他クライアントになりすまして攻撃者がアクセストークンを鋳造できる。脆弱性は OpenAM 16.1.1 で修正されており、同バージョン以上への更新が推奨される。
あなたへの影響
OpenAM を OAuth2 認証基盤として本番運用する場合、組織内 OpenAM インスタンスが 16.0.6 以前であれば即座に 16.1.1 以上への更新を実施する必要がある。
推奨：特に動的クライアント登録が有効化されている環境は被害が拡大しやすいため優先度は高い。