注目★★★★★GitHub Advisory
OpenAM OAuth に認証回避脆弱性、PKCE 検証スキップ可能（CVE-2026-48717）
30秒で把握
- 1OpenAM 16.0.6 までの OAuth2 に PKCE 検証をスキップ可能な脆弱性・デフォルト無効の codeVerifierEnforced 設定が原因
- 2公開クライアントは verifier 不要で認可コードをトークン化・秘密クライアントはクライアント認証があれば悪用可能
- 316.1.1 でパッチ済み・デフォルト設定で動作中の環境は codeVerifierEnforced 有効化と最新版へアップデートが必要
要約
OpenAM Community Edition 16.0.6 までに OAuth2 の PKCE (Proof Key for Code Exchange) 認証を回避できる脆弱性が存在する。認可エンドポイントで code_challenge が保存されるが、トークンエンドポイントの code_verifier 検証がデフォルト無効で、verifier パラメータを省略すると PKCE 検証を完全にスキップできる。公開クライアントの場合、インターセプトした認可コードを verifier なしでトークンに交換でき、秘密クライアントでもクライアント認証情報があれば同様に悪用される。バージョン 16.1.1 でパッチ済みのため直ちにアップデートが推奨される。
あなたへの影響
OpenAM を OAuth2 プロバイダーとして本番運用する場合、codeVerifierEnforced を明示的に有効化していないかコンフィグ確認が必須。
推奨：v16.0.6 以下の環境は 16.1.1 への早急なアップデートを検討すべき。