注目★★★★★GitHub Advisory
OpenAM に認証後 RCE、スクリプトサンドボックス回避で OS コマンド実行可能
30秒で把握
- 1OpenAM 16.0.6 以前、認証ユーザーがスクリプトサンドボックスを回避して OS コマンド実行可能
- 2Realm Admin などの管理権限を持つユーザーが JVM/ホストレベルで任意実行でき全 Realm が危険に
- 3バージョン 16.1.1 で修正・本番運用チームは即更新検証を開始
要約
OpenAM Community Edition バージョン 16.0.6 以前に、認証後の Groovy スクリプト実行時にサンドボックス保護機構の欠陥 (CWE-693) が存在し、スクリプト作成権限を持つ認証ユーザー (例: Realm Admin) が OpenAM アプリケーションサーバーの権限で OS コマンドを実行可能だった。この脆弱性により、ローカル Realm Admin は JVM/ホストレベルの任意実行が可能となり、OpenAM が管理する全 Realm が危険にさらされる。バージョン 16.1.1 で修正済みのため、直ちに最新版への更新が推奨される。
あなたへの影響
OpenAM を本番運用するチームは、Realm Admin 以上の権限を持つユーザーアカウントの棚卸しと権限レビューを実施し。
推奨：可能な限り早期にバージョン 16.1.1 以降への更新を検証・適用すべき。