注目★★★★★GitHub Advisory
OpenAM 16.0.6以前に認証不要の書き込み脆弱性、v16.1.1で修正
30秒で把握
- 1OpenAM 16.0.6以前に認証不要の LDAP 書き込みを許す脆弱性（CWE-285）を確認
- 2管理者権限を内部で流用し ACL を回避・Liberty Discovery 参照環境は影響大
- 3修正済み v16.1.1 への更新と Liberty エンドポイントの公開範囲の見直しが必要
要約
OpenAM Community Edition 16.0.6以前に、認証なしでリモートからLDAPエントリへ永続的レコードを書き込める不正認可の脆弱性（CWE-285）が確認された。攻撃者はLiberty Web ServicesのSOAPエンドポイント経由でDiscoveryストアへ管理者トークンを悪用した書き込みを実行でき、通常のACLを回避する。Liberty Discovery情報を参照する構成では、サービスルーティングやセキュリティ制御が影響を受ける恐れがある。
あなたへの影響
OpenAM Community Edition を運用しているチームは。
推奨：バージョンを確認し 16.1.1 への更新を優先的に実施するとともに、Liberty Web Services エンドポイントへの外部アクセスを最小化する構成を見直すとよい。