C20/100
脆弱性 · 緊急
ID管理基盤OpenAMに複数のクリティカル脆弱性 修正済み
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： OpenAMを利用しているID管理基盤の運用者
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
取るべき対応
- 10月のアップデートが適用されているかを確認し、未適用であれば更新する
要点
- ID管理基盤「OpenAM」に複数の脆弱性が見つかった
- 一部の脆弱性は「クリティカル」と評価されている
- いずれも10月のアップデートで修正済みである
なぜ重要か
OpenAMを認証基盤として運用している開発者は、認証や認可の仕組みに影響するおそれがあるため、修正版の適用状況を確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| はい | 開発者に影響 | 企業のIT部門や運用チームが運用するID管理基盤であり、影響を受ける対象に当たる |
| いいえ | 基幹インフラ | 単一のID管理製品であり、ほぼすべてのチームが運用する基幹インフラソフトウェアではない |
| いいえ | 人気ツール | OpenAMは特定用途のID管理製品で、一般的な開発ツールほど広く使われてはいない |
| いいえ | 悪用確認済み | Security NEXTは実際の攻撃や悪用が観測されたとは報じていない |
| いいえ | 公開エクスプロイト | Security NEXTは脆弱性の存在のみを報じ、エクスプロイトや概念実証の公開には触れていない |
| いいえ | 認証不要のリモート攻撃 | Security NEXTは攻撃条件や認証の要否に関する記述を含んでいない |
| いいえ | 完全な乗っ取り | Security NEXTはコード実行や権限奪取の可否に関する記述を含んでいない |
| いいえ | シークレットの流出 | Security NEXTは認証情報や設定、データの流出について報じていない |
| いいえ | サプライチェーン | Security NEXTは配布経路への悪意あるコードの混入について報じていない |
| いいえ | 修正なし | Security NEXTは10月のアップデートで修正済みであると報じている |
出典
ID管理基盤「OpenAM」に複数の「クリティカル」脆弱性 ↗ Security NEXT · 2時間前